Пара модулей для системы управления контентом Drupal получила обновления с патчами для уязвимостей, позволяющих атакующему выполнять действия от лица некоторых пользователей.

Брешь в Twitter-модуле открывает возможность для репоста открытых твитов и аутентификации в Twitter. Этот баг является умеренно критическим, поскольку для эксплойта атакующему потребуется наличие соответствующих разрешений в целевой системе.

«Модуль недостаточно эффективно проверяет права доступа в тех случаях, когда пользователь применяет подмодуль Twitter Post для публикации сообщений в Twitter, и позволяет публиковать твиты в любом аутентифицированном профиле, не только в том, которым владеет сам пользователь, — говорится в бюллетене Drupal. — Данный модуль также недостаточно хорошо проверяет наличие прав при выводе списка привязанных Twitter-аккаунтов, позволяя любому пользователю изменять настройки других учетных записей, а также удалять привязанные аккаунты Twitter».

Второй уязвимый модуль, RESTful API, открывает на сайте доступ к серверному приложению Drupal через API. Багу подвержены версии 7.x-1.x ниже 7.x-1.3.

«Модуль недостаточно учитывает возможность генерации страничного кэша для анонимных пользователей в тех случаях, когда аутентификация осуществляется через провайдера, не использующего куки. Поскольку страница аутентифицированного пользователя может быть кэширована как страница анонима, ее потенциально закрытое содержимое станет доступным при последующих анонимных запросах», — говорится в бюллетене.

Обе уязвимости актуальны лишь для модулей Drupal и не затрагивают ядро этой CMS.

Категории: Уязвимости