High WID-SEC-2022-1948 4 CVEs

Drupal: Mehrere Schwachstellen

Published Apr 17, 2019 · Updated Jul 11, 2024 · Revision 11 · de-DE

Vendor: IBM Vendor: Juniper Networks Vendor: Oracle Vendor: SolarWinds Vendor: Tenable Security Product: Junos Product: Linux Product: Nessus Product: Platform Product: QRadar SIEM Platform: Linux Platform: Windows

Summary

Ein entfernter, authentisierter oder anonymer Angreifer kann mehrere Schwachstellen in Drupal ausnutzen, um einen Cross-Site Scripting Angriff durchzuführen, um Daten zu manipulieren, um einen Denial of Service Zustand herbeizuführen und um beliebigen Code auszuführen.

Product

Drupal ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden.

Vulnerabilities 4

Critical 9.8

CVE-2019-10910

Symfony Service IDs Allow Injection

In Symfony before 2.7.51, 2.8.x before 2.8.50, 3.x before 3.4.26, 4.x before 4.1.12, and 4.2.x before 4.2.7, when service ids allow user input, this could allow for SQL Injection and remote code execution. This is related to symfony/dependency-injection.

symfony/symfony symfony symfony symfony/dependency-injection Debian Ubuntu Packagist

May 16, 2019
High 7.5

CVE-2019-10911

Improper authentication in Symfony

In Symfony before 2.7.51, 2.8.x before 2.8.50, 3.x before 3.4.26, 4.x before 4.1.12, and 4.2.x before 4.2.7, a vulnerability would allow an attacker to authenticate as a privileged user on sites with user registration and remember me login functionality enabl…

symfony/symfony symfony symfony symfony/security-http Debian Ubuntu Packagist

May 16, 2019
Medium 6.1

CVE-2019-11358 Public exploit EPSS 87%

XSS in jQuery as used in Drupal, Backdrop CMS, and other products

jQuery before 3.4.0, as used in Drupal, Backdrop CMS, and other products, mishandles jQuery.extend(true, {}, ...) because of Object.prototype pollution. If an unsanitized source object contained an enumerable __proto__ property, it could extend the native Obj…

mediawiki mediawiki django drupal/core Debian Ubuntu Azure Linux Alpine npm Packagist Maven PyPI NuGet RubyGems

Apr 19, 2019
Medium 5.4

CVE-2019-10909 Public exploit

Symfony Cross-site Scripting (XSS) vulnerability

In Symfony before 2.7.51, 2.8.x before 2.8.50, 3.x before 3.4.26, 4.x before 4.1.12, and 4.2.x before 4.2.7, validation messages are not escaped, which can lead to XSS when user input is included. This is related to symfony/framework-bundle.

drupal/core symfony/symfony symfony symfony Debian Ubuntu Packagist

May 16, 2019

Revision history

2024-07-11 #11
Neue Updates von IBM aufgenommen
2023-07-25 #10
Neue Updates aufgenommen
2023-03-02 #9
Neue Updates von Tenable aufgenommen
2022-11-02 #8
Neue Updates von Oracle Linux aufgenommen
2021-07-14 #7
Neue Updates von Juniper aufgenommen
2019-06-04 #6
Referenz(en) aufgenommen: ASA-201906-2
2019-05-01 #5
Referenz(en) aufgenommen: FEDORA-2019-1A3EDD7E8A, FEDORA-2019-A06DFFAB1C, FEDORA-2019-2A0CE0C58C, FEDORA-2019-F563E66380
2019-04-29 #4
Referenz(en) aufgenommen: FEDORA-2019-7EAF0BBE7C, FEDORA-2019-EBA8E44EE6
2019-04-22 #2
cve added
2019-04-22 #3
Referenz(en) aufgenommen: FEDORA-2019-F5D6A7CE74, FEDORA-2019-8635280DE5, FEDORA-2019-0EF4149687, FEDORA-2019-32067D8B15, FEDORA-2019-2A7F472198, FEDORA-2019-6F6F41E8E1, FEDORA-2019-F8DB687840, FEDORA-2019-3EE6A7ADF2
2019-04-17 #1
Initiale Fassung

References

Drupal Security Advisory sa-core-2019-005 vom 2019-04-17
https://www.drupal.org/sa-core-2019-005
Drupal Security Advisory sa-core-2019-006 vom 2019-04-17
https://www.drupal.org/sa-core-2019-006
Drupal Security Advisory sa-contrib-2019-045 vom 2019-04-17
https://www.drupal.org/sa-contrib-2019-045
Drupal Security Advisory sa-contrib-2019-044 vom 2019-04-17
https://www.drupal.org/sa-contrib-2019-044
Juniper Security Advisory JSA11203 vom 2021-07-14
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA11203&cat=SIRT_1
Oracle Linux Security Advisory ELSA-2022-7343 vom 2022-11-03
https://linux.oracle.com/errata/ELSA-2022-7343.html
Tenable Security Advisory TNS-2023-09 vom 2023-03-02
https://www.tenable.com/security/tns-2023-09
SolarWinds Platform 2023.3 Release Notes
https://documentation.solarwinds.com/en/success_center/orionplatform/content/release_notes/solarwinds_platform_2023-3_release_notes.htm
IBM Security Bulletin 7160134 vom 2024-07-12
https://www.ibm.com/support/pages/node/7160134