标题: Drupal Project和Project Issue Tracking Modules不当授权 [打印本页]

---

作者: pioneer     时间: 2007-8-22 09:55    标题: Drupal Project和Project Issue Tracking Modules不当授权

来源

secunia.com

软件名

Drupal Project issue tracking Module 4.x
Drupal Project issue tracking Module 5.x
Drupal Project Module 4.x
Drupal Project Module 5.x

描述

这可被恶意泄漏敏感信息和绕过特定的访问限制不正确的对"access projects", "access own projects", "access project issues"和"access own project issues"强制授权，通过Tracker Module和"Recent posts" 页面时如果这个项目或问题提示到上一个页面并且如果节点认证已知时泄漏了工程的CVX活动细节，这就会泄漏工程名和其它不确定的敏感信息。在以下产品中已经报告过：* Project module 5.x-1.0, 4.7.x-2.3,和4.7.x-1.3之前的版本
* Project issue tracking module 5.x-1.0, 4.7.x-2.4,和4.7.x-1.4之前的版本

解决方案

Drupal 4.7.x:

更新Project 4.7.x-1.* 到 version 4.7.x-1.3.
http://drupal.org/node/168765
更新Project 4.7.x-2.* 到 version 4.7.x-2.3.
http://drupal.org/node/168768
更新 Project issue tracking 4.7.x-1.* 到 version 4.7.x-1.4.
http://drupal.org/node/168771
更新Project issue tracking 4.7.x-2.* 到 version 4.7.x-2.4.
http://drupal.org/node/168772

Drupal 5.x:

更新Project 到 5.x-1.0.
http://drupal.org/node/168769
更新Project issue tracking 到 5.x-1.0.
http://drupal.org/node/168773

---

欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn