Drupal存在多个安全漏洞

　　近日百度安全指数平台又发布了一篇关于Drupal安全漏洞的内容，今天大宝seo博客转载过来和朋友们分享一下。在了解Drupal的安全漏洞描述及解决方法之前，先和朋友们普及一下什么是Drupal。

　　Drupal是使用PHP语言编写的开源内容管理框架（CMF），它由内容管理系统（CMS）和PHP开发框架（Framework）共同构成。连续多年荣获全球最佳CMS大奖，是基于PHP语言最著名的WEB应用程序。截止2011年底，共有13,802位WEB专家参加了Drupal的开发工作；228个国家使用181种语言的729,791位网站设计工作者使用Drupal。著名案例包括：联合国、美国白宫、美国商务部、纽约时报、华纳、迪斯尼、联邦快递、索尼、美国哈佛大学、Ubuntu等。（百度百科）

　　漏洞描述

　　Drupal是使用PHP语言编写的开源内容管理框架（CMF），它由内容管理系统（CMS）和PHP开发框架（Framework）共同构成。连续多年荣获全球最佳CMS大奖，是基于PHP语言最著名的WEB应用程序。

　　2017年6月21日，Drupal官方发布8.3.4和7.56版本并修复多个安全漏洞。其中包括：

　　CVE-2017-6920

　　DrupalCore的YAML解析器处理不当所导致的一个远程代码执行漏洞。

　　等级：高危

　　影响版本：8.x至8.3.4

　　CVE-2017-6921

　　RESTful服务，存在不当验证。容许攻击者注册账号后上传和编辑文件。

　　等级：高危

　　影响版本：8.x至8.3.4

　　CVE-2017-6922

　　anonymous用户可访问另外一个anonymous用户上传到非公共文件夹的文件。

　　等级：中危

　　影响版本：7.x至7.56，8.x至8.3.4

　　修复建议

　　1、使用7.x版本的网站升级到7.56，使用8.x版本的网站升级到8.3.4；

　　2、使用百度云加速WAF防火墙进行防御；

　　3、添加网站至安全指数，及时了解网站组件突发/0day漏洞。

　　了解更多

　　https://www.drupal.org/SA-CORE-2017-003