NVD / CVE Programı· CNA drupal

CVE-2017-6931: In Drupal versions 8.4.x versions before 8.4.5 the Settings Tray module has a vulnerability that allows users to update certain data that…

OrtaCVSS 6.5 · v3.0—İstismar yok Düzeltme var

Noroxi değerlendirmesi

Öncelik: İzleyin (aksiyon skoru 26/100)

İzlediğimiz kaynaklarda (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) herkese açık istismar kodu ya da sahada sömürü kaydı yok.
Önümüzdeki 30 günde sömürülme olasılığı %1 (FIRST EPSS); kayıtların %65,3 kadarından yüksek.
İnternetten erişebilen herkes tetikleyebilir. Düşük yetkili bir hesap yeterli. Kullanıcının bir şey yapması gerekmez. Özel bir koşul gerekmez; tekrarlanabilir.
Düzeltilmiş sürüm: drupal/core (Packagist) 8.4.5; drupal/drupal (Packagist) 8.4.5.

Şimdilik düşük öncelik. drupal/core (Packagist) 8.4.5; drupal/drupal (Packagist) 8.4.5 ya da daha yeni sürüme yükseltin.

Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz

Birincil kaynaklar: NVD · CVE.org · FIRST EPSS

In Drupal versions 8.4.x versions before 8.4.5 the Settings Tray module has a vulnerability that allows users to update certain data that they do not have the permissions for. If you have implemented a Settings Tray form in contrib or a custom module, the correct access checks should be added. This release fixes the only two implementations in core, but does not harden against other such bypasses. This vulnerability can be mitigated by disabling the Settings Tray module.

Dosya yükleme

GHSA-7ffh-cjvg-fpr4

Yayın: 1 Mar 2018
Güncelleme: 16 Haz 2026
EPSS: %1,0 · 65. yüzdelik
CWE: CWE-434

Rapor araçları

JSON

Aksiyon skoru

İzleyin

Şimdilik düşük öncelik.

CVSS: 26 / 40 · 6.5 / 10
CISA KEV: 0 / 30 · Listede değil
EPSS: 0 / 30 · %1,0

Bu kayıt değişirse haber alın

KEV'de değil: sahada sömürü kaydı yok
Herkese açık istismar kodu kaydı yok
Düzeltme yayımlandı

Bunlardan biri değişirse günlük e-posta özetinde haber veririz.

Sürümünüz etkileniyor mu? Kontrol edin

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.

Bu ürünü kullanıyoruz, yardım isteyin

Etkilenen sistemler

Sürümünüz etkileniyor mu?

Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.

Üretici	Ürün	CPE
drupal	drupal	cpe:2.3:a:drupal:drupal

Üreticinin bildirdiği sürümler

Kaydı açan otorite (drupal) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

Drupal.org Drupal Core
- 8.4.x versions before 8.4.5etkilenir

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.

drupal drupal8.4.0 ve sonrası · 8.4.5 öncesi

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Ekosistem	Paket	Etkilenen aralık	Düzeltme
Packagist	drupal/core	8.4.0 itibarıyla · 8.4.5 öncesi	8.4.5
Packagist	drupal/drupal	8.4.0 itibarıyla · 8.4.5 öncesi	8.4.5

Aynı üründe

drupal: tüm kayıtlar

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

CVE-2018-7602Drupal core - Highly critical - Remote Code Execution - SA-CORE-2018-004KEV
99Hemen
CVE-2018-7600Drupal before 7.58, 8.x before 8.3.9, 8.4.x before 8.4.6, and 8.5.x before 8.5.1 allows remote attackers to execute arbitrary code because…KEV
99Hemen
CVE-2026-9082Drupal core - Highly critical - SQL injection - SA-CORE-2026-004KEV
96Hemen

Bu üründe bundan önce ve sonra yayımlananlar

← ÖncekiCVE-2017-69291 Mar 2018 · A jQuery cross site scripting vulnerability is present when making Ajax requests to untrusted domains.
24İzleyin
← ÖncekiCVE-2017-69301 Mar 2018 · In Drupal versions 8.4.x versions before 8.4.5 when using node access controls with a multilingual site, Drupal marks the untranslated…
32İzleyin
Sonraki →CVE-2017-69321 Mar 2018 · Drupal core 7.x versions before 7.57 has an external link injection vulnerability when the language switcher block is used.
18İzleyin

Düzeltme

Hangi sürüme geçmeli

Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.

Ürün / paket	Düzeltilmiş sürüm	Kaynak
Packagist:drupal/core	8.4.5	Paket deposu (OSV)
Packagist:drupal/drupal	8.4.5	Paket deposu (OSV)

İstismar durumu

Bilinen kamuya açık istismar yok

Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.

Araştırma bağlamı

Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.