Forum d'entraide PHPFrance

Bonjour à tous,

L'équipe de sécurité de Drupal a révèlé aujourd'hui une faille de sécurité majeure sur les version DRupal 6, 7 et 8.

Il est vivement reccomandé de mettre à jour vos site web.

Merci Spols pour la transmission de l'info !

Voici le lien d'info officiel avec le patch : https://www.drupal.org/sa-core-2018-002

Et pour ceux qui ont un doute sur la criticité de la faille, voici le détail :

- How difficult is it for the attacker to leverage the vulnerability? None (user visits page).
- What privilege level is required for an exploit to be successful? None (all/anonymous users).
- Does this vulnerability cause non-public data to be accessible? All non-public data is accessible.
- Can this exploit allow system data (or data handled by the system) to be compromised? All data can be modified or deleted.

En résumé, il est fort probable qu'un exploit apparaisse dans les heures qui viennent et que de nombreux sites sous Drupal non mis à jour soient compromis dans les jours à venir...

Ne concerne que Drupal 7 et 8, pas 6.
Alors, oui, être sur Drupal 6 est une faute, puisque ce n'est plus maintenu, mais bon.

La version 6 est concernée aussi par cette faille, mais contrairement aux version 7 et 8, l'éditeur ne fournit pas de patch.

Un patch non-officiel a été mis en ligne par un utilisateur sur Gist, toutefois je ne l'ai pas testé :
https://gist.github.com/paragonie-scott ... 1eb274eeef