CVE-2020-13666

描述

Cross-site scripting vulnerability in Drupal Core. Drupal AJAX API does not disable JSONP by default, allowing for an XSS attack. This issue affects: Drupal Drupal Core 7.x versions prior to 7.73; 8.8.x versions prior to 8.8.10; 8.9.x versions prior to 8.9.6; 9.0.x versions prior to 9.0.6.

如何修補 CVE-2020-13666

要修補 CVE-2020-13666,請將受影響套件升級到下列已修補版本。

• Bitnami/drupal—升級至 7.73.0 或更新版本
• —升級至 7.52-2+deb9u12 或更新版本
• —升級至 8.8.10 或更新版本
• —升級至 8.8.10 或更新版本
• —升級至 7.73 或更新版本

CVE-2020-13666 正在被利用嗎?

低 — EPSS 為 2.9%,目前沒有觀察到大規模利用活動。

受影響套件(5)

• >= 7.0.0, < 7.73.0, >= 8.8.0, < 8.8.10, >= 8.9.0, < 8.9.6, >= 9.0.0, < 9.0.6
• from 0, < 7.52-2+deb9u12
• >= 8.0.0, < 8.8.10 | >= 8.9.0, < 8.9.6 | >= 9.0.0, < 9.0.6
• >= 8.8.0, < 8.8.10
• >= 7.0.0, < 7.73

CVSS 分數

參考連結(5)

• ADVISORYnvd.nist.gov/vuln/detail/CVE-2020-13666
• PATCHgithub.com/drupal/core
• WEBgithub.com/FriendsOfPHP/security-advisories/blob/master/drupal/core/CVE-2020-13666.yaml
• WEBgithub.com/FriendsOfPHP/security-advisories/blob/master/drupal/drupal/CVE-2020-13666.yaml