Risque(s)

• Atteinte à l'intégrité des données
• Atteinte à la confidentialité des données

Systèmes affectés

• Drupal 9.x versions antérieures à 9.0.9
• Drupal 8.9.x versions antérieures à 8.9.10
• Drupal 8.8.x versions antérieures à 8.8.12
• Drupal 7.x versions antérieures à 7.75

L'éditeur

ne maintient plus les versions 8 antérieures à 8.8.x Les utilisateurs d'une version obsolète doivent préalablement mettre à jour Drupal pour bénéficier des correctifs de sécurité.

Résumé

De multiples vulnérabilités ont été découvertes dans Drupal core. Elles permettent à un attaquant de provoquer une atteinte à l'intégrité des données et une atteinte à la confidentialité des données.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité Drupal sa-core-2020-013 du 25 novembre 2020
  https://www.drupal.org/sa-core-2020-013
• Référence CVE CVE-2020-28948
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28948
• Référence CVE CVE-2020-28949
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28949