{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Drupal versions 5.16 et ant\u00e9rieures ;",
      "product": {
        "name": "Drupal",
        "vendor": {
          "name": "Drupal",
          "scada": false
        }
      }
    },
    {
      "description": "Drupal versions 6.10 et ant\u00e9rieures.",
      "product": {
        "name": "Drupal",
        "vendor": {
          "name": "Drupal",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": null,
  "content": "## Description\n\nDeux vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 d\u00e9couvertes dans Drupal :\n\n-   des injections de code indirectes sont possibles par l\u0027interm\u00e9diaire\n    de caract\u00e8res UTF-8 pouvant \u00eatre interpr\u00e9t\u00e9s en UTF-7 ;\n-   par l\u0027interm\u00e9diaire d\u0027un lien sp\u00e9cifiquement constitu\u00e9, les donn\u00e9es\n    saisies dans un formulaire peuvent \u00eatre transmises \u00e0 un site tiers.\n    Ce site peut ensuite r\u00e9aliser des injections de requ\u00eates ill\u00e9gitimes\n    par rebond.\n\n## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation).\n",
  "cves": [],
  "initial_release_date": "2009-05-07T00:00:00",
  "last_revision_date": "2009-05-07T00:00:00",
  "links": [
    {
      "title": "Bulletin de s\u00e9curit\u00e9 Drupal SA-CORE-2009-005 du 29 avril    2009 :",
      "url": "http://drupal.org/node/449078"
    }
  ],
  "reference": "CERTA-2009-AVI-175",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2009-05-07T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Injection de code indirecte"
    },
    {
      "description": "Injection de requ\u00eates ill\u00e9gitimes par rebond (CSRF)"
    },
    {
      "description": "Atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es"
    }
  ],
  "summary": "Deux vuln\u00e9rabilit\u00e9s dans \u003cspan class=\"textit\"\u003eDrupal\u003c/span\u003e permettent\nde r\u00e9aliser des injections de code indirectes et des injections de\nrequ\u00eates ill\u00e9gitimes par rebond.\n",
  "title": "Vuln\u00e9rabilit\u00e9s dans Drupal",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletin de s\u00e9curit\u00e9 Drupal SA-CORE-2009-005 du 29 avril 2009",
      "url": null
    }
  ]
}