CCK, Nodereference, Drupal a XSS

Pod nadpisem plným zkratek a cizích slov bych chtěl upozornit na nově objevenou bezpečnostní chybu v modulu pro redakční systém Drupal. Chyba je v modulu Nodereference, který je součástí sady Content Construction Kit, s jejíž pomocí lze vytvářet volitelná pole v příspěvku. Nový bezpečnostní problém nahlášený Gerhard Killesreiter z Drupal Security Teamu se týká XSS.

XSS zranitelnost se v modulu Nodereference vyskytuje hned dvakrát. V prvním případě za předpokladu, že je políčko nodereference zobrazeno s formátovačem „plain“, druhá situace nastává, když je toto políčko upravováno s použitím automaticky doplňovaného textu.

Chyba není v jádře Drupalu, takže stačí použít aktualizaci pro modul Nodereference, pokud jej používáte. Vývojáři nabízejí opravu v podobě nové verze Content Construction Kitu. Stahovat můžete z následujících adres:

Buďme ve spojení, přihlaste se k newsletteru

Odesláním formuláře souhlasíte s podmínkami zpracováním osobních údajů. 
Více informací v Ochrana osobních údajů.

Autor článku: Jan Polzer

Tvůrce webů z Brna se specializací na Drupal, WordPress a Symfony. Acquia Certified Developer & Site Builder. Autor několika knih o Drupalu.
Marketing Director v Lesensky.cz. Ve volných chvílích podnikám výlety na souši i po vodě. Více se dozvíte na polzer.cz a mém LinkedIn profilu.

Komentáře k článku

Přidat komentář

Odesláním komentáře souhlasíte s podmínkami Ochrany osobních údajů

reklama
Moje kniha o CMS Drupal

 

Kniha 333 tipů a triků pro Drupal 9


Více na KnihyPolzer.cz

Sledujte Maxiorla na Facebooku

Maxiorel na Facebooku

Poslední komentáře
Nové diskuze
Hosting pro Drupal a WordPress

Hledáte český webhosting vhodný nejenom pro redakční systém Drupal? Tak vyzkoušejte Webhosting C4 za 1200 Kč na rok s doménou v ceně, 20 GB prostoru a automatické navyšováním o 2 GB každý rok. Podrobnosti zde.

@maxiorel na Twitteru

Maxiorel na Twitteru