- 编号: DRUPAL-SA-2008-049
- 项目：Talk（第三方模块）
- 版本： Drupal5.x, 6.x
- 日期：2008年9月17日
- 安全风险: 中级
- 攻击点： 远程
- 漏洞：跨站点脚本,绕过节点访问控制
描述
用于Drupal 5.x 和6.x的Talk模块为节点创建一个"Talk"标签,点击这个标签就可以看到针对该节点的评论.
在这个第3方的Talk模块中,我们发现了两个漏洞.
跨站点脚本漏洞
没有对节点标题文本进行安全处理,在展示标题以前也没有进行过滤.这就允许了恶意用户向Talk页面插入任意的HTML和脚本代码.更多XSS攻击这方面的可参看Wikipedia的对应页面.
绕过节点访问控制
为了查看一个普通节点的评论,你必须查看节点页面本身,也就是说,你必须拥有对该节点的访问权限,才能查看该节点的评论.然而, Talk模块绕过了这一限制,它将评论显示在了一个单独的页面中,当用户查看评论时没有对用户进行权限检查,这样没有访问该节点权限的用户也可以看到该节点的评论了.
影响版本
- 用于Drupal 5.x的Talk5.x-1.3以前版本
- 用于Drupal 6.x的Talk6.x-1.5以前版本
Drupal内核不受影响。 If you do not use the contributed Talk module, there is nothing you need to do.如果你没有用到Talk模块的话，那么你就不用担心了.
解决方案
安装最新版本：
- 如果你当前使用的是Talk 5.x-1.x,那么你需要升级到Talk 5.x-1.3
- 如果你当前使用的是Talk 6.x-1.x,那么你需要升级到Talk 6.x-1.5
参看Talk项目页面
报告人员
联系方式
对于Drupal安全问题，你可以通过security@drupal.org给我们发送email，或者通过http://drupal.org/contact在线联系我们。
相关链接: http://zhupou.cn
