Drupal on 办公AI智能小助手 https://blog.qife122.com/tags/drupal/ Recent content in Drupal on 办公AI智能小助手 Hugo zh-cn qife Mon, 12 Jan 2026 22:11:47 +0800 Drupal核心存在访问控制安全级别配置不当漏洞 https://blog.qife122.com/p/drupal%E6%A0%B8%E5%BF%83%E5%AD%98%E5%9C%A8%E8%AE%BF%E9%97%AE%E6%8E%A7%E5%88%B6%E5%AE%89%E5%85%A8%E7%BA%A7%E5%88%AB%E9%85%8D%E7%BD%AE%E4%B8%8D%E5%BD%93%E6%BC%8F%E6%B4%9E/ Mon, 12 Jan 2026 22:11:47 +0800 https://blog.qife122.com/p/drupal%E6%A0%B8%E5%BF%83%E5%AD%98%E5%9C%A8%E8%AE%BF%E9%97%AE%E6%8E%A7%E5%88%B6%E5%AE%89%E5%85%A8%E7%BA%A7%E5%88%AB%E9%85%8D%E7%BD%AE%E4%B8%8D%E5%BD%93%E6%BC%8F%E6%B4%9E/ <h3 id="cve-2025-13083">CVE-2025-13083</h3> <p><strong>Drupal核心允许利用配置不当的访问控制安全级别</strong></p> <ul> <li><strong>严重性：低</strong></li> <li><strong>状态：GitHub已审核</strong></li> <li><strong>发布时间：</strong> 2025年11月18日 (发布至GitHub Advisory Database)</li> <li><strong>最后更新：</strong> 2026年1月8日</li> </ul> <h3 id="漏洞详情">漏洞详情</h3> <p><strong>Dependabot警报：0</strong></p> Drupal Webform多文件上传模块XSS漏洞剖析 https://blog.qife122.com/p/drupal-webform%E5%A4%9A%E6%96%87%E4%BB%B6%E4%B8%8A%E4%BC%A0%E6%A8%A1%E5%9D%97xss%E6%BC%8F%E6%B4%9E%E5%89%96%E6%9E%90/ Wed, 10 Dec 2025 08:52:38 +0800 https://blog.qife122.com/p/drupal-webform%E5%A4%9A%E6%96%87%E4%BB%B6%E4%B8%8A%E4%BC%A0%E6%A8%A1%E5%9D%97xss%E6%BC%8F%E6%B4%9E%E5%89%96%E6%9E%90/ <h3 id="cve-2025-12848---webform-multiform渲染文件名时的xss漏洞">CVE-2025-12848 - Webform Multiform渲染文件名时的XSS漏洞</h3> <h4 id="概述">概述</h4> <h4 id="漏洞时间线">漏洞时间线</h4> <h4 id="描述">描述</h4> <p>Drupal 7.x的Webform Multiple File Upload模块在文件名渲染器中包含一个跨站脚本（XSS）漏洞。未经身份验证的攻击者可以通过向一个禁用了文件类型验证的、包含Multifile字段的Webform节点上传一个包含恶意JavaScript代码（例如，<code>&lt;img src=1 onerror=alert(document.domain)&gt;</code>）的文件名来利用此漏洞。这允许在受害者浏览器的上下文中执行任意脚本。</p> Drupal Email TFA模块的身份验证绕过漏洞解析：CVE-2025-12760 https://blog.qife122.com/p/drupal-email-tfa%E6%A8%A1%E5%9D%97%E7%9A%84%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E8%A7%A3%E6%9E%90cve-2025-12760/ Wed, 10 Dec 2025 01:38:44 +0800 https://blog.qife122.com/p/drupal-email-tfa%E6%A8%A1%E5%9D%97%E7%9A%84%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E8%A7%A3%E6%9E%90cve-2025-12760/ <h2 id="漏洞详情">漏洞详情</h2> <p><strong>包管理工具:</strong> Composer <strong>受影响的包:</strong> <code>drupal/email_tfa</code> <strong>受影响版本:</strong> 2.0.6 之前的所有版本 (从 0.0.0 开始) <strong>已修复版本:</strong> 2.0.6</p> <h2 id="漏洞描述">漏洞描述</h2> <p>Drupal的Email TFA（双因素认证）模块存在一个“<strong>使用替代路径或通道的身份验证绕过</strong>”漏洞，允许攻击者<strong>绕过功能限制</strong>。具体而言，该问题属于CWE-288类弱点：产品要求身份验证，但产品存在一个不需要身份验证的替代路径或通道。</p> Drupal Email TFA身份验证绕过漏洞CVE-2025-12760技术分析 https://blog.qife122.com/p/drupal-email-tfa%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9Ecve-2025-12760%E6%8A%80%E6%9C%AF%E5%88%86%E6%9E%90/ Thu, 04 Dec 2025 08:53:08 +0800 https://blog.qife122.com/p/drupal-email-tfa%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9Ecve-2025-12760%E6%8A%80%E6%9C%AF%E5%88%86%E6%9E%90/ <h2 id="漏洞详情">漏洞详情</h2> <p><strong>CVE ID</strong>: CVE-2025-12760 <strong>GHSA ID</strong>: GHSA-9jrw-jrrj-p6fr <strong>严重等级</strong>: 中等 (CVSS评分：5.4) <strong>影响范围</strong>: Drupal Email TFA 模块版本 0.0.0 至 2.0.6（不含2.0.6） <strong>已修复版本</strong>: 2.0.6</p> <h2 id="漏洞描述">漏洞描述</h2> <p>Drupal Email TFA 模块中存在“使用替代路径或通道进行身份验证绕过”漏洞，允许攻击者实现<strong>功能绕过</strong>。该问题影响了 Email TFA 模块从初始版本到 2.0.6 之前的所有版本。</p> Symfony技术周报：PHP框架更新与Web开发前沿动态 https://blog.qife122.com/p/symfony%E6%8A%80%E6%9C%AF%E5%91%A8%E6%8A%A5php%E6%A1%86%E6%9E%B6%E6%9B%B4%E6%96%B0%E4%B8%8Eweb%E5%BC%80%E5%8F%91%E5%89%8D%E6%B2%BF%E5%8A%A8%E6%80%81/ Mon, 13 Oct 2025 18:03:20 +0800 https://blog.qife122.com/p/symfony%E6%8A%80%E6%9C%AF%E5%91%A8%E6%8A%A5php%E6%A1%86%E6%9E%B6%E6%9B%B4%E6%96%B0%E4%B8%8Eweb%E5%BC%80%E5%8F%91%E5%89%8D%E6%B2%BF%E5%8A%A8%E6%80%81/ <h1 id="symfony-station-communiqué---星际日期-2025年9月26日-最新symfonydrupaltypo3和php新闻">Symfony Station Communiqué - 星际日期：✦ 2025年9月26日 ✦：最新Symfony、Drupal、TYPO3和PHP新闻！</h1> <p>欢迎阅读本周的Symfony Station公报。这是您了解Symfony和PHP开发社区重要新闻的每周汇总，重点关注保护民主的相关内容。</p> Drupal CVE-2018-7600远程代码执行漏洞利用详解 https://blog.qife122.com/p/drupal-cve-2018-7600%E8%BF%9C%E7%A8%8B%E4%BB%A3%E7%A0%81%E6%89%A7%E8%A1%8C%E6%BC%8F%E6%B4%9E%E5%88%A9%E7%94%A8%E8%AF%A6%E8%A7%A3/ Sat, 11 Oct 2025 05:16:11 +0800 https://blog.qife122.com/p/drupal-cve-2018-7600%E8%BF%9C%E7%A8%8B%E4%BB%A3%E7%A0%81%E6%89%A7%E8%A1%8C%E6%BC%8F%E6%B4%9E%E5%88%A9%E7%94%A8%E8%AF%A6%E8%A7%A3/ <h1 id="cve-2018-7600---drupal-7远程代码执行">CVE-2018-7600 - Drupal 7远程代码执行</h1> <h2 id="概述">概述</h2> <p>这是一个针对易受攻击的Drupal 7安装的CVE-2018-7600漏洞的Rust实现利用工具。该漏洞利用Drupal在处理表单缓存时的缺陷，通过在POST请求中操纵<code>form_build_id</code>参数，当Drupal渲染缓存元素时，<code>#post_render</code>回调会执行攻击者控制的标记，从而实现命令执行。</p>