SA-CONTRIB-2019-060

Проект: Existing Values Autocomplete Widget
Дата публикации: 24 июля 2019
Риск безопасности: Критический. 17/25 AC:None A:None CI:All II:None E:Theoretical TD:All
Уязвимость: Обход доступа

¶Описание

Модуль не производил достаточно проверок на право доступа, прежде чем отдавать результаты автозаполнения.

Уязвимость смягчается тем, что атакующему необходимо знать маршрут до контроллера, чтобы произвести атаку.

¶Решение

Обновиться до Existing Values Autocomplete Widget 8.x-1.2.

¶Принимали участие

Сообщение об ошибке:

• David Stinemetze

Исправление ошибки:

• Art Williams

Скоординировано:

• Michael Hess из Drupal Security Team
• Greg Knaddison из Drupal Security Team

¶Ссылки

• SA-CONTRIB-2019-060 (англ.), drupal.org, 24 июля 2019