CVE-2016-3165
WysokieStreszczenie
API formularzy w Drupal 6.x przed wersją 6.38 ignoruje ograniczenia dostępu dla przycisków submit, co może pozwolić zdalnym atakującym na obejście zamierzonych ograniczeń dostępu.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do nieautoryzowanego przesyłania formularzy, co może prowadzić do nieautoryzowanego dostępu do danych lub funkcji systemu.
Rekomendacja
Zaleca się aktualizację do wersji Drupal 6.38 lub nowszej, aby naprawić tę lukę w zabezpieczeniach.
Inne podatności w Drupal 6.x
Zobacz wszystkie- CVE-2017-6919Wysokie
Drupal 8 w wersjach przed 8.2.8 oraz 8.3 przed 8.3.1 umożliwia krytyczne obejście dostępu przez uwierzytelnionych użytkowników, jeśli włączony jest moduł RESTful Web Services (rest) i strona zezwala na żądania PATCH.
- CVE-2017-6377Wysokie
W wersjach Drupal 8.2.x przed 8.2.7, podczas dodawania prywatnego pliku za pomocą edytora, nieprawidłowo sprawdzane są uprawnienia do dołączanego pliku, co prowadzi do obejścia zabezpieczeń.
- CVE-2016-9450Wysokie
Formularz resetowania hasła użytkownika w Drupal 8.x przed wersją 8.2.3 umożliwia zdalnym atakującym przeprowadzenie ataków na pamięć podręczną z powodu braku określenia poprawnego kontekstu pamięci podręcznej.
- CVE-2016-3171Wysokie
Drupal w wersji 6.x przed 6.38, używany z PHP w wersjach przed 5.4.45, 5.5.x przed 5.5.29 lub 5.6.x przed 5.6.13, może pozwolić zdalnym atakującym na wykonanie dowolnego kodu poprzez manipulację danymi sesji.
- CVE-2016-3164Wysokie
Drupal w wersjach 6.x przed 6.38, 7.x przed 7.43 oraz 8.x przed 8.0.4 może umożliwiać zdalnym atakującym przeprowadzenie ataków typu open redirect poprzez wykorzystanie (1) niestandardowego kodu lub (2) formularza wyświetlanego na stronie błędu 404, związanych z manipulacją ścieżkami.
- CVE-2026-9082KrytyczneAktywnie exploitowane
Podatność na iniekcję SQL w rdzeniu Drupala. Nieprawidłowe neutralizowanie specjalnych elementów w zapytaniach SQL umożliwia atakującemu wykonanie dowolnych poleceń SQL.
- CVE-2018-7602KrytyczneAktywnie exploitowane
Podatność zdalnego wykonania kodu w wielu podsystemach Drupal 7.x i 8.x. Umożliwia atakującym wykorzystanie wielu wektorów ataku, co może doprowadzić do przejęcia strony. Jest to krytyczna podatność w rdzeniu Drupal (SA-CORE-2018-002), aktywnie wykorzystywana w środowisku produkcyjnym.
- CVE-2026-8493Średnie
Moduł Colorbox Inline dla Drupala jest podatny na Cross-Site Scripting (XSS) we wszystkich wersjach przed 2.1.1. Podatność wynika z niewłaściwego neutralizowania danych wejściowych podczas generowania strony.
Oryginalny opis (angielski, źródło NVD)
The Form API in Drupal 6.x before 6.38 ignores access restrictions on submit buttons, which might allow remote attackers to bypass intended access restrictions by leveraging permission to submit a form with a button that has "#access" set to FALSE in the server-side form definition.