Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-434

CVE-2020-13671

Drupal core dosya yükleme kısıtlamasının eksikliğinden kaynaklanan güvenlik açığı

Drupal core

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2168 gün
Kaydı açan
drupal
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 18 Oca 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 18 Tem 2022.

ÖzetTürkçe

Drupal core, yüklenen dosyaların bazı dosya adlarını düzgün şekilde temizlemediği için dosyaların yanlış uzantıyla yorumlanmasına, yanlış MIME türüyle sunulmasına veya belirli barındırma yapılandırmalarında PHP olarak çalıştırılmasına yol açabilmektedir. Bu sorun şu sürümleri etkilemektedir: Drupal Core 9.0 sürümleri 9.0.8 öncesi, 8.9 sürümleri 8.9.9 öncesi, 8.8 sürümleri 8.8.11 öncesi ve 7 sürümleri 7.74 öncesi.

Kaynaktaki açıklama (İngilizce)

Drupal core does not properly sanitize certain filenames on uploaded files, which can lead to files being interpreted as the incorrect extension and served as the wrong MIME type or executed as PHP for certain hosting configurations. This issue affects: Drupal Drupal Core 9.0 versions prior to 9.0.8, 8.9 versions prior to 8.9.9, 8.8 versions prior to 8.8.11, and 7 versions prior to 7.74.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Drupal core Sürüm belirtilmemiş –

Kaynaklar5 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.