Les dernières mises à jour de Drupal corrigent des vulnérabilités cross-site scripting (XSS) et des redirections ouvertes, mais elles n’ont reçu que des notes de gravité «modérément critiques».

Drupal 7.70 corrige une vulnérabilité de redirection ouverte liée à «une validation insuffisante du paramètre de requête de destination dans le drupal_goto () une fonction. » Un attaquant peut exploiter la faille pour rediriger les utilisateurs vers une URL arbitraire en les obligeant à cliquer sur un lien spécialement conçu, a déclaré Drupal dans son avis.

Drupal 7.70 corrige également quelques vulnérabilités XSS potentielles qui existent dans le projet jQuery. Les développeurs de jQuery ont corrigé les bogues dans la version 3.5.0 le mois dernier et Drupal a également mis à jour sa version jQuery pour empêcher l’exploitation, ce qui est possible contre certains sites Web Drupal.

Les vulnérabilités XSS affectent également Drupal 8.8 et 8.7 – ces versions ne sont pas affectées par le problème de redirection ouverte – et elles ont été corrigées avec la sortie de Drupal 8.8.6 et 8.7.14.

«Cette version de sécurité Drupal rétroporte les correctifs vers les fonctions jQuery pertinentes, sans apporter d’autres modifications à la version jQuery incluse dans le noyau Drupal ou exécutée sur le site via un autre module tel que jQuery Update. Il n’est pas nécessaire de mettre à jour jquery_update sur les sites Drupal 7 sur lesquels le module est installé », a déclaré Drupal.

Il a ajouté: «Le code de compatibilité descendante a également été ajouté pour minimiser les régressions vers les sites Drupal qui pourraient s’appuyer sur le comportement antérieur de jQuery. Avec jQuery 3.5, les balises HTML à fermeture automatique incorrectes dans JavaScript pour les éléments où les balises de fin sont normalement requises rencontreront un changement dans ce que jQuery retourne ou insère. Pour minimiser cette interruption dans 8.8.x et versions antérieures, cette version de sécurité conserve le comportement antérieur de jQuery pour la plupart des balises sûres. Il peut toujours y avoir des régressions pour les cas marginaux, y compris des éléments personnalisés invalides auto-fermés sur Internet Explorer. « 

C’était…