Drupal

In der Gastregistrierung von Drupal Commerce besteht eine Schwachstelle. Die Quellbeschreibung der NVD enthält keine näheren technischen Angaben zur Art der Ausnutzung oder zu den konkret betroffenen Versionen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Im Drupal-Modul Formatter Field werden dynamisch bestimmte Objektattribute unzureichend kontrolliert verändert, was Object Injection ermöglicht. Laut CVSS-Vektor ist die Schwachstelle über das Netzwerk ohne Authentisierung und ohne Nutzerinteraktion ausnutzbar, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Die betroffenen Modulversionen sind dem NVD-Eintrag zu entnehmen.

Im Drupal-Modul LocalGov Workflows besteht eine Schwachstelle durch fehlende Autorisierung (Missing Authorization), die es Angreifern per Forceful Browsing erlaubt, auf eigentlich geschützte Ressourcen zuzugreifen. Betroffen sind die Versionen 0.0.0 bis einschliesslich 1.6.0. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

Im Drupal-Modul AlternativeCommerce (Basket) besteht eine Schwachstelle durch unzureichend kontrollierte Änderung dynamisch bestimmter Objektattribute, die eine Object Injection ermöglicht. Ein Angreifer kann dadurch manipulierte Objekte einschleusen und die Anwendungslogik unterlaufen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen des betroffenen Moduls einspielen.

Für das Drupal-Modul „Mother May I" wurde eine Schwachstelle gemeldet. Die NVD-Quellbeschreibung nennt keine näheren technischen Details; betroffen sind laut Eintrag alle Versionen. Der CVSS-Vektor weist die Lücke als ohne Authentifizierung über das Netzwerk ausnutzbar aus, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Drupal Core besteht eine Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten, die Object Injection ermöglicht. Drupal Core enthält eine Kette von Methoden (sogenannte Gadget-Chain), die ausnutzbar ist, wenn auf der Website eine unsichere Deserialisierungsschwachstelle vorliegt. Diese Kette stellt für sich genommen keine direkte Bedrohung dar, kann aber in Verbindung mit einer anderen Schwachstelle zur Remotecodeausführung genutzt werden. Betroffen sind Drupal Core ab 8.0.0 vor 10.2.11, ab 10.3.0 vor 10.3.9 sowie ab 11.0.0 vor 11.0.8. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf 10.2.11, 10.3.9 beziehungsweise 11.0.8.

In Drupal Core ermöglicht eine unsichere Deserialisierung nicht vertrauenswürdiger Daten eine Object Injection. Drupal Core enthält eine Methodenkette (Gadget Chain), die bei Vorliegen einer weiteren Deserialisierungslücke zur Remote Code Execution führen kann. Betroffen sind Versionen ab 8.0.0 vor 10.2.11, ab 10.3.0 vor 10.3.9 und ab 11.0.0 vor 11.0.8. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf Drupal Core 10.2.11, 10.3.9 bzw. 11.0.8 oder neuer aktualisieren.

In Drupal Core besteht eine Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten, die Object Injection ermöglicht. Betroffen sind Drupal Core 7.0 vor 7.102, 8.0.0 vor 10.2.11 sowie 10.3.0 vor 10.3.9. Der enthaltene Gadget-Chain stellt keine direkte Bedrohung dar, kann aber als Vektor für Remote Code Execution genutzt werden, wenn die Anwendung aufgrund einer weiteren Schwachstelle nicht vertrauenswürdige Daten deserialisiert. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

Eine Schwachstelle durch unzureichende Neutralisierung von Eingaben während der Erzeugung von Webseiten (Cross-Site-Scripting) im Drupal-Modul COOKiES Consent Management erlaubt Cross-Site-Scripting (XSS). Betroffen ist COOKiES Consent Management ab Version 0.0.0 vor 1.2.15. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: Update auf Version 1.2.15.

Eine unzureichende Neutralisierung von Eingaben bei der Erzeugung von Webseiten (Cross-Site-Scripting) im Drupal-Modul COOKiES Consent Management erlaubt XSS-Angriffe. Betroffen sind Versionen ab 0.0.0 vor 1.2.15. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 1.2.15 oder neuer.

Drupal Core weist eine Schwachstelle durch unzureichend kontrollierte Modifikation dynamisch bestimmter Objektattribute auf, die Object Injection ermöglicht. Betroffen sind die Versionen 8.0.0 bis vor 10.3.13, 10.4.0 bis vor 10.4.3, 11.0.0 bis vor 11.0.12 sowie 11.1.0 bis vor 11.1.3. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Drupal Core 10.3.13, 10.4.3, 11.0.12 bzw. 11.1.3 oder neuer.

Im Drupal-Modul AI (Artificial Intelligence) besteht eine Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen, die zu OS-Command-Injection führen kann. Betroffen sind Versionen von 0.0.0 bis vor 1.0.5. CVSS-Basiswert: 7.5 (Hoch).

Im Drupal-Modul Symfony Mailer Lite besteht in Versionen vor 1.0.6 eine Cross-Site-Request-Forgery-Schwachstelle. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Symfony Mailer Lite 1.0.6 oder neuer aktualisieren.

Eine Schwachstelle in Drupal Core erlaubt eine Rechteausweitung (Privilege Escalation). Betroffen sind laut NVD die Versionen 8.0.0 bis vor 10.2.11, 10.3.0 bis vor 10.3.9 sowie 11.0.0 bis vor 11.0.8. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: auf eine der bereinigten Versionen 10.2.11, 10.3.9 bzw. 11.0.8 oder neuer aktualisieren.

Eine Schwachstelle in Drupal Core erlaubt Excessive Allocation. Betroffen ist Drupal Core von 10.2.0 vor 10.2.2 sowie von 10.1.0 vor 10.1.8. CVSS-Basiswert: 7.5 (Hoch).

Drupal verarbeitet bestimmte strukturelle Elemente fehlerhaft. Wird die Schwachstelle ausgenutzt, kann ein Angreifer dadurch einen Denial-of-Service-Zustand herbeiführen. Weitere Details liegen in den Quelldaten nicht vor. CVSS-Basiswert: 7.5 (Hoch).

In bestimmten Szenarien gibt das JSON:API-Modul von Drupal laut NVD Fehler-Backtraces aus. Je nach Konfiguration können dadurch sensible Informationen zwischengespeichert und anonymen Nutzern zugänglich gemacht werden, was zu einer Rechteausweitung führen kann. Betroffen sind nur Websites mit aktiviertem JSON:API-Modul; die core-REST- und contributed-GraphQL-Module sind nicht betroffen. CVSS-Basiswert: 7.5 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: JSON:API-Modul deinstallieren, falls nicht benötigt.

Für Produkte von Axis wurde eine Sicherheitslücke (CVE-2019-11358) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 87.2 %.

Für mehrere überwachte Produkte wurde eine Sicherheitslücke (CVE-2021-41184) gemeldet; Znuny/OTRS führt die betroffene Komponente in seinem Advisory. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 40.8 %.

Für mehrere Produkte (u. a. Znuny/OTRS, Drupal und NetApp) wurde eine Sicherheitslücke (CVE-2021-41182) gemeldet; die Hersteller führen sie in ihren Sicherheitshinweisen. Ausnutzungswahrscheinlichkeit (EPSS): 39.4 %.

Für mehrere Produkte (u. a. Znuny/OTRS, Ubiquiti und Fedora) wurde eine Sicherheitslücke (CVE-2021-41183) gemeldet; die Hersteller führen sie in ihren Sicherheitshinweisen. Nähere technische Details liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 8.5 %.

Eine Schwachstelle vom Typ Improperly Controlled Modification of Dynamically-Determined Object Attributes in Drupal core erlaubt Object Injection. Betroffen ist Drupal core ab 8.0.0 vor 10.5.9 sowie weitere Zweige. CVSS-Basiswert: 6.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine korrigierte Drupal-core-Version aktualisieren.

In Drupal Canvas besteht eine Cross-Site-Scripting-Schwachstelle (XSS) durch unzureichende Neutralisierung von Eingaben bei der Erzeugung von Webseiten. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In Drupal Canvas ermöglicht eine unzureichende Neutralisierung von Eingaben bei der Erzeugung von Webseiten Cross-Site-Scripting (XSS). Die Ausnutzung erfordert laut CVSS-Vektor eine Nutzerinteraktion. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Drupal core besteht eine Cross-Site-Scripting-Schwachstelle durch unzureichende Neutralisierung von Eingaben bei der Seitengenerierung. Betroffen ist Drupal core ab Version 8.0.0. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Drupal Core besteht eine Cross-Site-Scripting-Schwachstelle durch unzureichende Neutralisierung von Eingaben bei der Erzeugung von Webseiten. Laut Quelldaten ist Drupal Core ab Version 11.3.0 betroffen. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im Drupal-Modul Anti-Spam by CleanTalk besteht eine reflektierte Cross-Site-Scripting-Schwachstelle durch unzureichende Neutralisierung von Eingaben bei der Erzeugung von Webseiten. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das betroffene Modul auf eine bereinigte Version aktualisieren.

In Drupal Commerce Core besteht eine Schwachstelle durch unzureichende Neutralisierung von Eingaben bei der Seitengenerierung, die gespeichertes Cross-Site-Scripting (Stored XSS) ermöglicht. Betroffen sind Commerce-Core-Versionen ab 3.3.0. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung über CISA KEV ist nicht bekannt. Betroffene sollten auf eine bereinigte Version aktualisieren.

Im Drupal-Modul Tagify besteht eine Schwachstelle durch unzureichende Neutralisierung von Eingaben bei der Erzeugung von Webseiten, die ein Stored Cross-Site-Scripting (XSS) ermöglicht. Betroffen sind die Versionen 0.0.0 bis einschliesslich 1.2.52. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.