Pod nadpisem plným zkratek a cizích slov bych chtěl upozornit na nově objevenou bezpečnostní chybu v modulu pro redakční systém Drupal. Chyba je v modulu Nodereference, který je součástí sady Content Construction Kit, s jejíž pomocí lze vytvářet volitelná pole v příspěvku. Nový bezpečnostní problém nahlášený Gerhard Killesreiter z Drupal Security Teamu se týká XSS.
reklama
XSS zranitelnost se v modulu Nodereference vyskytuje hned dvakrát. V prvním případě za předpokladu, že je políčko nodereference zobrazeno s formátovačem „plain“, druhá situace nastává, když je toto políčko upravováno s použitím automaticky doplňovaného textu.
Chyba není v jádře Drupalu, takže stačí použít aktualizaci pro modul Nodereference, pokud jej používáte. Vývojáři nabízejí opravu v podobě nové verze Content Construction Kitu. Stahovat můžete z následujících adres:
- CCK 4.7.x-1.6 – https://www.drupal.org/node/166994
- CCK 5.x-1.6 – https://www.drupal.org/node/166992
Autor článku: Jan Polzer
Tvůrce webů z Brna se specializací na Drupal a Symfony. Obojí také školím spolu se základy SEO. Jsem Acquia Certified Developer a Site Builder a napsal jsem několik knih o Drupalu. Ve volných chvílích cestuji a podnikám výlety. Více se dozvíte na mém firemním webu.
reklama
Přidat komentář