发布日期：2005-07-01
更新日期：2005-07-01

受影响系统：

Drupal Drupal 4.6.1
Drupal Drupal 4.6
Drupal Drupal 4.5.3
Drupal Drupal 4.5.2
Drupal Drupal 4.5.2
Drupal Drupal 4.5.1
Drupal Drupal 4.5

不受影响系统：

Drupal Drupal 4.6.2
Drupal Drupal 4.5.4

描述：

---

BUGTRAQ  ID: 14110
CVE(CAN) ID: CVE-2005-2106

Drupal是很著名的开源CMS，仿照了blog程序模式，但比普通的blog更灵活，可以做各种网站的内容管理平台。

Drupal中的漏洞可能允许执行任意PHP代码，成功利用这个漏洞的攻击者可以在有漏洞的系统中执行任意PHP代码。

起因是没有正确的过滤用户输入，应用程序的过滤机制不能正确的过滤用户对comments和postings的输入。

<*来源：Uwe Hermann （uwe@hermann-uwe.de）
        Kuba Zygmunt
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=112015287827452&w=2
*>

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 禁止公开评论和张贴。

厂商补丁：

Drupal
------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载Drupal 4.6.2或4.5.4：

http://drupal.org/files/projects/drupal-4.5.4.tar.gz
http://drupal.org/files/projects/drupal-4.6.2.tar.gz

浏览次数：5489
严重程度：0（网友投票）