Pozor na zabezpečení Drupalu!

Včera vyšly nějaké opravy pro moduly systému Drupal a také jedno praktické upozornění vztahující se k Drupalu s použitým modulem CCK. Pečlivě si zkontrolujte, jakým způsobem máte nastaveno oprávnění k Administraci obsahu. Měli by jej mít pouze správci webu, protože s tímto oprávněním můžete ovlivňovat políčka CCK a jistě nechcete, aby některý nepozorný nebo zlobivý uživatel toto zneužil. Doplňuji, že v Drupalu 6 můžete nastavit oprávnění k zobrazení i pro jednotlivá definovaná políčka, stačí zapnout modul Content Permissions.

reklama

Chyba v modulu Troll

Modul Troll sloužící ke správě nevhodně se chovajících uživatelů obsahuje ve verzi pro Drupal 5 chybu ve zpracování formulářů vedoucí až k CSRF. Verze pro Drupal 6 je v pořádku, pro Drupal 5 však oprava není k dispozici a doporučuje se modul nepoužívat.

XSS v modulu Advertisement

Pokud ke správě reklam na svém webu používáte modul Advertisement, pak zbystřete. Uživatelé oprávnění k administraci reklam mohou reklamy nastavit tak, aby ignorovaly vstupní formáty a případně tam vložit škodlivý kód. Opravy jsou zde:

Drupal

Autor článku: Jan Polzer

Tvůrce webů z Brna se specializací na Drupal, WordPress a Symfony. Acquia Certified Developer & Site Builder. Autor několika knih o Drupalu. Web Development Director v Lesensky.cz. Ve volných chvílích podnikám výlety na souši i po vodě. Více se dozvíte na polzer.cz.

@maxiorel