Inicio / Content / Boletín de INCIBE-CERT del 17-02-2022

Boletín de INCIBE-CERT del 17-02-2022

Múltiples vulnerabilidades en el core de Drupal

Fecha de publicación: 
17/02/2022
Importancia: 
3 - Media
Recursos afectados: 

Drupal, versiones anteriores a la 9.3.6, 9.2.13 y 7.88.

Las versiones de Drupal 8 y de Drupal 9, anteriores a la 9.2.x, se encuentran al final de su vida útil y ya no reciben cobertura de seguridad.

Descripción: 

Se han publicado dos vulnerabilidades de severidad media que podrían afectar al core de Drupal.

Solución: 

Actualizar:

  • Drupal 9.3, a la versión 9.3.6;
  • Drupal 9.2, a la versión 9.2.13;
  • Drupal 7, a la versión 7.88.
Detalle: 
  • La validación inadecuada de los datos de entrada en la API de formularios del core de Drupal podría permitir a un atacante inyectar valores no permitidos o sobrescribir datos. Los formularios afectados son poco comunes, pero en ciertos casos un atacante podría alterar datos críticos o sensibles. Se ha asignado el identificador CVE-2022-25271 para esta vulnerabilidad.
  • El módulo Quick Edit no comprueba correctamente el acceso a las entidades en algunas circunstancias. Esto podría dar lugar a que los usuarios con el permiso de 'acceso a la edición in situ' vean algún contenido al que no están autorizados. Se ha asignado el identificador CVE-2022-25270 para esta vulnerabilidad.

Encuesta valoración