Drupal’da yana bir zaiflik aniqlandi.

Drupal’da yana bir zaiflik aniqlandi.

Zaiflik Drupal yadrosi bilan integratsiyalashgan CKEditor plaginiga ta’sir qiladi.

Bu oyda ikkinchi marta Drupalda yana bir zaiflik aniqlandi, bu cookie-fayllarni o’g’irlash, klaviatura yozuvlarini bloklash, fishing va shaxsni o’g’irlash kabi keng ko’lamli hujumlarni amalga oshirishga imkon beradi.

Drupal jamoasi uchinchi tomon CKEditor plaginida XSS zaifligini aniqladi, bu plagin Drupal yadrosi bilan integratsiyalashadi va administratorlar va foydalanuvchilarga interaktiv kontent yaratish imkonini beradi. CKEditor ko’plab veb-saytlarda ishlatiladigan va ba’zi veb-loyihalarda oldindan o’rnatilgan mashhur WYSIWYG boy matn muharriridir.

Plagin ishlab chiquvchilarining xavfsizlik bo’yicha maslahatiga ko’ra, zaiflik CKEditor 4.5.11 va undan keyingi versiyalari uchun Enhanced Image plagini tomonidan «img» yorlig’ining noto’g’ri tasdiqlanishi bilan bog’liq. Hujumchi ushbu zaiflikdan foydalanuvchi brauzerida ixtiyoriy HTML yoki JavaScript kodini bajarish uchun foydalanishi mumkin.

Enhanced Image plagini birinchi marta CKEditor 4.3 da paydo bo’ldi va muharrir yordamida tasvirlarni kontentga joylashtirish imkoniyatini beradi.

Zaiflik CKEditor 4.9.2 da tuzatildi. Drupal dasturchilari uni Drupal 8.5.2 va Drupal 8.4.7 da tuzatdilar. Muammo Drupal 7.x versiyalaridagi CKEditorga ta’sir qilmaydi, chunki ushbu versiyalardagi plagin konfiguratsiyasi CDN serverlaridan yuklash uchun sozlangan.

☺, yaqinda Drupalda Drupalgeddon 2 nomli muhim zaiflik aniqlandi, bu esa hujumchilarga zaif saytlarni nazorat qilishga ☻

WYSIWYG (Nima ko’rsangiz, shuni olasiz) – bu amaliy dasturlar yoki veb-interfeyslarning xususiyati bo’lib, unda tahrirlash jarayonida kontent namoyish etiladi va yakuniy mahsulotga (bosma hujjat, veb-sahifa taqdimoti va boshqalar) iloji boricha yaqinroq ko’rinadi.