ड्रूपल कोर क्रॉस-साइट स्क्रिप्टिंग (Cross-Site Scripting (XSS))

Drupal Core में CVE-2024-12393 भेद्यता JavaScript का उपयोग करके स्थिति संदेशों को प्रस्तुत करने के तरीके को प्रभावित करती है। कुछ विशिष्ट कॉन्फ़िगरेशन में, इन संदेशों को पर्याप्त रूप से सैनिटाइज़ नहीं किया जाता है, जिससे एक हमलावर दुर्भावनापूर्ण JavaScript कोड इंजेक्ट कर सकता है। यह कोड उपयोगकर्ता के ब्राउज़र में निष्पादित किया जा सकता है, जिससे वेबसाइट की सुरक्षा से समझौता हो सकता है। इस भेद्यता की गंभीरता को CVSS पैमाने पर 5.4 के रूप में रेट किया गया है, जो एक मध्यम जोखिम दर्शाता है। प्रभावित संस्करणों में Drupal Core 8.8.0 से 10.2.11 तक, 10.3.0 से 10.3.9 तक और 11.0.0 से 11.0.8 तक शामिल हैं। सफल शोषण से मनमाना कोड निष्पादन, संवेदनशील जानकारी की चोरी या वेबसाइट में हेरफेर हो सकता है।

1. आरक्षित2024-12-09
2. प्रकाशित2024-12-10
3. संशोधित2025-12-10
4. EPSS अद्यतन2026-04-02

अनुशंसित समाधान Drupal Core को पैच किए गए संस्करण में अपडेट करना है। विशेष रूप से, संस्करण 10.2.11 या उच्चतर, 10.3.9 या उच्चतर, या 11.0.8 या उच्चतर में अपडेट करें। इन संस्करणों में स्थिति संदेशों में JavaScript सैनिटाइजेशन भेद्यता को संबोधित करने वाले पैच शामिल हैं। यदि तत्काल अपडेट संभव नहीं है, तो अस्थायी शमन उपायों को लागू करने पर विचार करें, जैसे कि कस्टम JavaScript कोड की सावधानीपूर्वक समीक्षा करना और JavaScript द्वारा प्रस्तुत स्थिति संदेशों का उपयोग करने वाली सुविधाओं को अस्थायी रूप से अक्षम करना। शोषण के जोखिम को कम करने के लिए जितनी जल्दी हो सके अपडेट लागू करना महत्वपूर्ण है। अपडेट के बाद वेबसाइट की कार्यक्षमता सुनिश्चित करने के लिए पूरी तरह से परीक्षण किया जाना चाहिए।