SA-2008-064 - Node Vote – SQL注入漏洞

• 编号：DRUPAL-SA-2008-064
• 项目：Node Vote（第三方模块）
• 版本：drupal5.x和 drupal6.x
• 日期：2008年10月15日
• 安全风险:高
• 攻击点：远程
• 漏洞：SQL注入

描述

      Node Vote模块允许授权用户对特定类型的节点进行投票.

      如果管理员启用了Node Vote模块的"Allow user to vote again"(允许用户再次投票)设置,那么恶意用户在修改以前的投票时,就可以注入SQL语句了.这是由于Node Vote没有正确的使用drupal的数据库API,而将用户输入的数据直接插入到了sql语句中.黑客可以利用这一点,进行SQL注入攻击,从而获取更多的管理权限.

影响版本

• Drupal 5.x版的Node Vote,所以低于5.x-1.1
• Drupal 6.x版的Node Vote,所以低于6.x-1.0

     Drupal核心不受影响。 If you do not use the contributed Talk module, there is nothing you need to do.如果你没有用到Node Vote模块的话，那么你就不用担心了.

解决方案

安装最新版本

• Drupal 5.x版的Node Vote,需升级到5.x-1.1
• Drupal 6.x版的Node Vote,需升级到6.x-1.0

    参看Node Vote项目页面.

报告人

      Drupal安全小组的Stéphane Corlosquet (scor).

联系方式

     对于Drupal安全问题，你可以通过security at drupal.org (at替换为@)给我们发送email，或者通过http://drupal.org/contact在线联系我们。

原文作者:  kbahey ,发表日期: 2008年10月15日16:46

相关链接: http://drupal.org/node/321685 , http://zhupou.cn