CVSS: 6.8EPSS: 0%CPEs: 148EXPL: 3CVE-2007-6752 – Drupal 7.12 - Multiple Vulnerabilities
https://notcve.org/view.php?id=CVE-2007-6752
Cross-site request forgery (CSRF) vulnerability in Drupal 7.12 and earlier allows remote attackers to hijack the authentication of arbitrary users for requests that end a session via the user/logout URI. NOTE: the vendor disputes the significance of this issue, by considering the "security benefit against platform complexity and performance impact" and concluding that a change to the logout behavior is not planned because "for most sites it is not worth the trade-off. ** DISCUTIDO ** Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en Drupal 7.12 y anteriores permite a atacantes remotos secuestrar la autenticación de los usuarios arbitrarios para solicitudes que terminan una sesión a través de la URI usuario / cierre de sesión. NOTA: el vendedor se opone a la importancia de esta cuestión, teniendo en cuenta el "beneficio de la seguridad frente a la complejidad y la plataforma de impacto en el rendimiento" y la conclusión de que un cambio en el comportamiento de cierre de sesión no está previsto porque "la mayoría de los sitios no vale la pena la compensación." • https://www.exploit-db.com/exploits/18564 http://drupal.org/node/144538 http://groups.drupal.org/node/216314 http://ivanobinetti.blogspot.it/2012/03/drupal-cms-712-latest-stable-release.html http://packetstormsecurity.org/files/110404/drupal712-xsrf.txt http://www.exploit-db.com/exploits/18564 • CWE-352: Cross-Site Request Forgery (CSRF) •
CVSS: 7.5EPSS: 0%CPEs: 58EXPL: 0CVE-2011-4113
https://notcve.org/view.php?id=CVE-2011-4113
SQL injection vulnerability in the Views module before 6.x-2.13 for Drupal allows remote attackers to execute arbitrary SQL commands via vectors related to "filters/arguments on certain types of views with specific configurations of arguments." Vulnerabilidad de inyección SQL en el módulo Views antes de v6.x-2.13 para Drupal permite a atacantes remotos ejecutar comandos SQL a través de vectores relacionados con "filtros o argumentos en ciertos tipos de vistas con configuraciones específicas de los argumentos." • http://drupal.org/node/1329842 http://drupal.org/node/1329898 http://lists.fedoraproject.org/pipermail/package-announce/2011-November/069499.html http://secunia.com/advisories/46680 http://secunia.com/advisories/46962 http://www.openwall.com/lists/oss-security/2011/11/04/3 http://www.osvdb.org/76809 http://www.securityfocus.com/bid/50500 https://exchange.xforce.ibmcloud.com/vulnerabilities/71124 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 3.5EPSS: 0%CPEs: 20EXPL: 0CVE-2010-2048
https://notcve.org/view.php?id=CVE-2010-2048
Multiple cross-site scripting (XSS) vulnerabilities in the Heartbeat module 6.x before 6.x-4.9 for Drupal allow remote authenticated users to inject arbitrary web script or HTML via unspecified vectors. Múltiples vulnerabilidades de secuencias de comandos en sitios cruzados (XSS) en el módulo Heartbeat v6.x anterior a v6.x-4.9 para Drupal permite a usuarios autenticados remotamente inyectar secuencias de comandos web o HTML de su elección a través de vectores no especificados. • http://drupal.org/node/802508 http://drupal.org/node/803570 http://secunia.com/advisories/39893 http://www.securityfocus.com/bid/40268 https://exchange.xforce.ibmcloud.com/vulnerabilities/58702 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 4.3EPSS: 0%CPEs: 11EXPL: 0CVE-2010-1074
https://notcve.org/view.php?id=CVE-2010-1074
Cross-site scripting (XSS) vulnerability in the Currency Exchange module before 6.x-1.2 for Drupal allows remote attackers to inject arbitrary web script or HTML via unspecified vectors, related to watchdog logging. Vulnerabilidad de ejecución de secuencias de comandos en sitios cruzados (XSS) en el módulo Currency Exchange anterior a v6.x-1.2 para Drupal permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de vectores no especificados, relacionados con la vigilancia de registro (watchdog logging). • http://drupal.org/node/676214 http://drupal.org/node/676216 http://osvdb.org/61587 http://secunia.com/advisories/38121 http://www.securityfocus.com/bid/37649 http://www.vupen.com/english/advisories/2010/0063 https://exchange.xforce.ibmcloud.com/vulnerabilities/55453 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.0EPSS: 0%CPEs: 27EXPL: 0CVE-2009-4526
https://notcve.org/view.php?id=CVE-2009-4526
The Send by e-mail sub-module in the Print (aka Printer, e-mail and PDF versions) module 5.x before 5.x-4.9 and 6.x before 6.x-1.9, a module for Drupal, does not properly enforce privilege requirements, which allows remote attackers to read page titles by requesting a "Send to friend" form. El sub-módulo Send by e-mail en el módulo Print (también conocido como Printer, e-mail y versiones PDF) v5.x anterior a v5.x-4.9 y v6.x anterior a v6.x-1.9, para Drupal, no refuerza adecuadamente los privilegios, lo que permite a atacantes remotos leer los títulos de página solicitando un formulario "Send to a Friend" (Enviar a un amigo). • http://drupal.org/node/604804 http://drupal.org/node/604806 http://drupal.org/node/604808 http://osvdb.org/58951 http://secunia.com/advisories/37059 http://www.securityfocus.com/bid/36707 http://www.vupen.com/english/advisories/2009/2922 • CWE-264: Permissions, Privileges, and Access Controls •