CVSS: 4.3EPSS: 0%CPEs: 48EXPL: 0CVE-2008-0276
https://notcve.org/view.php?id=CVE-2008-0276
Cross-site scripting (XSS) vulnerability in the Devel module before 5.x-0.1 for Drupal allows remote attackers to inject arbitrary web script or HTML via a site variable, related to lack of escaping of the variable table. Vulnerabilidad de secuencia de comandos en sitios cruzados (XSS) en el módulo Devel anterior a 5.x-0.1 para Drupal permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de la variable site, Relacionado con la falta de escape de la variable tabla. • http://drupal.org/node/208524 https://exchange.xforce.ibmcloud.com/vulnerabilities/39606 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 4.3EPSS: 0%CPEs: 48EXPL: 0CVE-2008-0273
https://notcve.org/view.php?id=CVE-2008-0273
Interpretation conflict in Drupal 4.7.x before 4.7.11 and 5.x before 5.6, when Internet Explorer 6 is used, allows remote attackers to conduct cross-site scripting (XSS) attacks via invalid UTF-8 byte sequences, which are not processed as UTF-8 by Drupal's HTML filtering, but are processed as UTF-8 by Internet Explorer, effectively removing characters from the document and defeating the HTML protection mechanism. Conflicto de interpretación en Drupal 4.7.x anterior a 4.7.11 y 5.x anterior a 5.6, cuando se utiliza Internet Explorer 6, permite a atacantes remotos llevar a cabo ataques de secuencias de comandos en sitios cruzados a través de secuencias de bytes UTF-8 no válidas, las cuales no son procesadas como UTF-8 por el filtro HTML de Drupal, pero son procesadas por UTF-8 por el Internet Explorer, eliminando los caracteres del documento HTML y derrotando el mecanismo de protección. • http://drupal.org/node/208564 http://secunia.com/advisories/28422 http://secunia.com/advisories/28486 http://www.securityfocus.com/bid/27238 http://www.vbdrupal.org/forum/showthread.php?p=6878 http://www.vbdrupal.org/forum/showthread.php?t=1349 http://www.vupen.com/english/advisories/2008/0127 http://www.vupen.com/english/advisories/2008/0134 https://exchange.xforce.ibmcloud.com/vulnerabilities/39619 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 7.5EPSS: 0%CPEs: 43EXPL: 0CVE-2007-6299
https://notcve.org/view.php?id=CVE-2007-6299
Multiple SQL injection vulnerabilities in Drupal and vbDrupal 4.7.x before 4.7.9 and 5.x before 5.4 allow remote attackers to execute arbitrary SQL commands via modules that pass input to the taxonomy_select_nodes function, as demonstrated by the (1) taxonomy_menu, (2) ajaxLoader, and (3) ubrowser contributed modules. Múltiples vulnerabilidades de inyección SQL en Drupal y vbDrupal 4.7.x versiones anteriores a 4.7.9 y 5.x versiones anteriores a 5.4 permiten a atacantes remotos ejecutar comandos SQL de su elección mediante módulos que pasan la entrada a la función taxonomy_select_nodes, como se demuestra con los módulos (1) taxonomy_menu, (2) ajaxLoader, y (3) ubrowser. • http://drupal.org/node/198162 http://secunia.com/advisories/27932 http://secunia.com/advisories/27951 http://secunia.com/advisories/27973 http://sourceforge.net/project/shownotes.php?release_id=559532 http://sourceforge.net/project/shownotes.php?release_id=559538 http://www.securityfocus.com/bid/26735 https://exchange.xforce.ibmcloud.com/vulnerabilities/38884 https://exchange.xforce.ibmcloud.com/vulnerabilities/38886 https://www.redhat.com/archives/fedora-package-announce/2007-December/msg00190.ht • CWE-20: Improper Input Validation CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 6.8EPSS: 2%CPEs: 1EXPL: 2CVE-2007-5416 – Drupal 5.2 - PHP Zend Hash ation Vector
https://notcve.org/view.php?id=CVE-2007-5416
Drupal 5.2 and earlier does not properly unset variables when the input data includes a numeric parameter with a value matching an alphanumeric parameter's hash value, which allows remote attackers to execute arbitrary PHP code by invoking the drupal_eval function through a callback parameter to the default URI, as demonstrated by the _menu[callbacks][1][callback] parameter. NOTE: it could be argued that this vulnerability is due to a bug in the unset PHP command (CVE-2006-3017) and the proper fix should be in PHP; if so, then this should not be treated as a vulnerability in Drupal. Drupal 5.2 y versiones anteriores no des-asigna el valor de las variables apropiadamente cuando los datos de entrada incluyen un parámetro numérico con un valor que casa con un valor resumen de un parámetro alfanumérico, lo cual permite a atacantes remotos ejecutar código PHP de su elección al invocar la función drupal_eval a través de un parámetro de llamada inversa (callback) a el URI por defecto, como se demuestra con el parámetro _menu[callbacks][1][callback]. NOTA: se podría discutir que esta vulnerabilidad se debe a un error de programación en el comando PHP unset (CVE-2006-3017) y el parche apropiado que debería estar en PHP; de ser así, este asunto no debería ser tratado como vulnerabilidad en Drupal. • https://www.exploit-db.com/exploits/4510 http://securityreason.com/securityalert/3216 http://securityvulns.ru/Sdocument137.html http://www.securityfocus.com/archive/1/482006/100/0/threaded • CWE-189: Numeric Errors •
CVSS: 4.3EPSS: 0%CPEs: 2EXPL: 0CVE-2007-0136
https://notcve.org/view.php?id=CVE-2007-0136
Multiple cross-site scripting (XSS) vulnerabilities in Drupal before 4.6.11, and 4.7 before 4.7.5, allow remote attackers to inject arbitrary web script or HTML via unspecified parameters in the (1) filter and (2) system modules. NOTE: some of these details are obtained from third party information. Múltiples vulnerabilidades de secuencias de comandos en sitios cruzados (XSS) en Drupal anterior 4.6.11, y 4.7 anterior 4.7.5, permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de parámetros no especificados en los módulos (1) filter y (2) system. NOTA: algunos de estos detalles se obutvieron de información de terceros. • http://drupal.org/files/sa-2007-001/advisory.txt http://drupal.org/node/104233 http://marc.info/?l=full-disclosure&m=116799778408115&w=2 http://osvdb.org/32139 http://osvdb.org/32140 http://www.securityfocus.com/archive/1/456054/100/100/threaded http://www.vupen.com/english/advisories/2007/0050 https://exchange.xforce.ibmcloud.com/vulnerabilities/31311 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •