Drupal core接见权限节造失效缝隙安全公告

颁布功夫 2019-07-19

缝隙编号和级别


CVE编号：CVE-2019-6342 ，危险级别：严沉 ，CVSS分值：官方未评定


影响版本


受影响的版本


Drupal 8.7.4


缝隙概述


Drupal core是Drupal社区所守护的一套用PHP说话开发的免费、开源的内容治理系统。


在Drupal 8.7.4版本中 ，当处于尝试性的职能 Workspaces (工作区�  ？�) 开启的时辰 ，部门蹊径将不受到接见权限治理节造的限度 ，能够被肆意接见。


缝隙验证


暂无POC/EXP。


建复建议


目前厂商已颁布新版本以建复缝隙 ，将Drupal更新到8.7.5版本：https://www.drupal.org/download；


缓解措施：禁用 Workspaces �  ？�。


参考链接


https://www.drupal.org/sa-core-2019-008