Drupal bis 7.x-dev Input Sanitizer Gespeichert Cross Site Scripting

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
5.3$0-$5k0.00

Zusammenfassunginfo

Es wurde eine Schwachstelle mit der Einstufung problematisch in Drupal gefunden. Betroffen hiervon ist ein unbekannter Ablauf der Komponente Input Sanitizer. Die Bearbeitung verursacht Cross Site Scripting (Gespeichert). Die Verwundbarkeit wird als CVE-2013-6387 geführt. Der Angriff kann remote ausgeführt werden. Es ist kein Exploit verfügbar. Es wird empfohlen, die betroffene Komponente zu aktualisieren.

Detailsinfo

Eine problematische Schwachstelle wurde in Drupal (Content Management System) ausgemacht. Davon betroffen ist eine unbekannte Funktion der Komponente Input Sanitizer. Durch das Beeinflussen mit einer unbekannten Eingabe kann eine Cross Site Scripting-Schwachstelle (Stored) ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-79. Das hat Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

Cross-site scripting (XSS) vulnerability in the Image module in Drupal 7.x before 7.24 allows remote authenticated users with certain permissions to inject arbitrary web script or HTML via the description field.
Im Advisory wird zusammengefasst:
Image field descriptions are not properly sanitized before they are printed to HTML, thereby exposing a cross-site scripting vulnerability.

Die Schwachstelle wurde am 20.11.2013 durch Francisco José Cruz Romanos von Drupal Security Team als SA-CORE-2013-003 in Form eines nicht definierten Advisories (Website) veröffentlicht. Das Advisory kann von drupal.org heruntergeladen werden. Die Identifikation der Schwachstelle findet seit dem 04.11.2013 als CVE-2013-6387 statt. Die Ausnutzbarkeit gilt als leicht. Der Angriff kann über das Netzwerk passieren. Zur Ausnutzung ist eine einfache Authentisierung erforderlich. Es wird vorausgesetzt, dass das Opfer eine spezifische Handlung vornimmt. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1059.007.

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 71098 (Debian DSA-2804-1 : drupal7 - several vulnerabilities) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Debian Local Security Checks zugeordnet. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 12786 (Drupal Core Multiple Remote Vulnerabilities (SA-CORE-2013-003)) zur Prüfung der Schwachstelle an.

Ein Upgrade auf die Version 7.24 vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah sofort nach der Veröffentlichung der Schwachstelle. Die Entwickler haben hiermit unmittelbar reagiert.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (89168), Tenable (71098), SecurityFocus (BID 63848†), OSVDB (100033†) und Secunia (SA55713†) dokumentiert. Schwachstellen ähnlicher Art sind dokumentiert unter VDB-11238, VDB-11239, VDB-11241 und VDB-11242. If you want to get best quality of vulnerability data, you may have to visit VulDB.

Produktinfo

Typ

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.5
VulDB Meta Temp Score: 5.3

VulDB Base Score: 5.5
VulDB Temp Score: 5.3
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Name: Stored
Klasse: Cross Site Scripting / Stored
CWE: CWE-79 / CWE-94 / CWE-74
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 71098
Nessus Name: Debian DSA-2804-1 : drupal7 - several vulnerabilities
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍

OpenVAS ID: 892804
OpenVAS Name: Debian Security Advisory DSA 2804-1 (drupal7 - several vulnerabilities
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Upgrade: Drupal 7.24

Timelineinfo

04.11.2013 🔍
20.11.2013 +16 Tage 🔍
20.11.2013 +0 Tage 🔍
20.11.2013 +0 Tage 🔍
20.11.2013 +0 Tage 🔍
21.11.2013 +1 Tage 🔍
25.11.2013 +4 Tage 🔍
02.12.2013 +7 Tage 🔍
24.12.2013 +22 Tage 🔍
02.06.2021 +2717 Tage 🔍

Quelleninfo

Produkt: drupal.org

Advisory: SA-CORE-2013-003
Person: Francisco José Cruz Romanos
Firma: Drupal Security Team
Status: Nicht definiert
Bestätigung: 🔍

CVE: CVE-2013-6387 (🔍)
GCVE (CVE): GCVE-0-2013-6387
GCVE (VulDB): GCVE-100-11240

OVAL: 🔍

X-Force: 89168
SecurityFocus: 63848 - Drupal Core Image Module HTML Injection Vulnerability
Secunia: 55713 - Drupal Multiple Vulnerabilities, Less Critical
OSVDB: 100033
Vulnerability Center: 42440 - Drupal 7 Remote XSS Vulnerability in Image Module - CVE-2013-6387, Low

Siehe auch: 🔍

Eintraginfo

Erstellt: 25.11.2013 09:48
Aktualisierung: 02.06.2021 12:53
Anpassungen: 25.11.2013 09:48 (80), 16.05.2017 04:32 (6), 02.06.2021 12:53 (3)
Komplett: 🔍
Editor: olku
Cache ID: 216:ED3:103

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you know our Splunk app?

Download it now for free!