Plusieurs vulnérabilités de divulgation d’informations et de scripts intersites (XSS), dont une notée critique, ont été corrigés cette semaine dans le système de gestion de contenu (CMS) Drupal.

Le plus grave des défauts est CVE-2020-13668, un critique Problème XSS affectant Drupal 8 et 9. Il convient de noter que Drupal utilise le système de notation des abus communs NIST pour déterminer les niveaux de risque de sécurité et critique est le deuxième niveau le plus élevé, après très critique.

Le problème est un XSS réfléchi et l’exploitation n’est possible que dans certaines circonstances.

«Un attaquant pourrait tirer parti de la façon dont le HTML est rendu pour les formulaires affectés afin d’exploiter la vulnérabilité», lit-on dans la description de Drupal de la vulnérabilité, qui a été signalée indépendamment par plusieurs personnes.

Un autre défaut XSS – celui-ci a été noté moyennement critique – affecte Drupal 7, 8 et 9, et est lié au fait que l’API AJAX ne désactive pas JSONP par défaut.

Une deuxième vulnérabilité XSS moyennement critique corrigée cette semaine – celle-ci n’affecte que Drupal 7 et 8 – est liée à la fonctionnalité de légende d’image CKEditor intégrée au cœur de Drupal. Plus tôt cette année, les développeurs Drupal ont publié des mises à jour pour corriger quelques failles XSS affectant la bibliothèque CKEditor.

Les développeurs et administrateurs de sites Web ont également été informés d’un problème de contournement d’accès modérément critique lié au module expérimental des espaces de travail, qui permet aux utilisateurs de créer plusieurs espaces de travail sur un site Web dans lequel ils peuvent modifier le contenu avant de le publier sur l’espace de travail en direct.

«Le module Workspaces ne vérifie pas suffisamment les autorisations d’accès lors du changement d’espace de travail, ce qui entraîne une vulnérabilité de contournement d’accès. Un attaquant peut être en mesure de voir le contenu avant que le propriétaire du site n’ait l’intention que les gens le voient », ont expliqué les développeurs de Drupal.

Enfin, Drupal est également affecté par une vulnérabilité modérément critique dans le …