Múltiples vulnerabilidades en el core de Drupal 17/03/2022

Múltiples vulnerabilidades en el core de Drupal

Fecha de publicación: 

17/03/2022

Importancia: 

3 - Media

Recursos afectados: 

Drupal, versiones anteriores a la 9.3.8 y 9.2.15.

Las versiones de Drupal 8 y de Drupal 9, anteriores a la 9.2.x, se encuentran al final de su vida útil y ya no reciben cobertura de seguridad.

Descripción: 

Se han publicado dos vulnerabilidades de severidad media, que podrían afectar al core de Drupal.

Solución: 

Actualizar:

• Drupal 9.3 a la versión 9.3.8;
• Drupal 9.2 a la versión 9.2.15.

Detalle: 

Las vulnerabilidades son posibles si Drupal está configurado para permitir el uso de la librería CKEditor para la edición WYSIWYG. Un atacante que pueda crear o editar contenido (incluso sin acceso al propio CKEditor) podría explotar una o más vulnerabilidades de Cross-Site Scripting (XSS) para dirigirse a usuarios con acceso al CKEditor WYSIWYG, incluyendo administradores del sitio con acceso privilegiado. Se han asignado los identificadores CVE-2022-24728 y CVE-2022-24729 para estas vulnerabilidades.

Referencias: 

Drupal core - Moderately critical - Third-party libraries - SA-CORE-2022-005