{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Drupal versions 6.x ant\u00e9rieures \u00e0 6.13.",
      "product": {
        "name": "Drupal",
        "vendor": {
          "name": "Drupal",
          "scada": false
        }
      }
    },
    {
      "description": "Drupal versions 5.x ant\u00e9rieures \u00e0 5.19 ;",
      "product": {
        "name": "Drupal",
        "vendor": {
          "name": "Drupal",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": null,
  "content": "## Description\n\nDe multiples vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 d\u00e9couvertes dans Drupal :\n\n-   le module de forum ne g\u00e8re pas correctement certains param\u00e8tres. En\n    incitant un utilisateur disposant de privil\u00e8ges \u00e9lev\u00e9s \u00e0 suivre un\n    lien sp\u00e9cifiquement construit, il est possible de r\u00e9aliser une\n    injection de code indirecte (versions 6.x) ;\n-   dans des cas tr\u00e8s particuliers, il est possible d\u0027ex\u00e9cuter du code\n    par l\u0027interm\u00e9diaire des signatures des utilisateurs (versions 6.x) ;\n-   lorsqu\u0027un utilisateur se trompe en saisissant ses identifiants lors\n    d\u0027une connexion, et si sa page actuelle contient une table de tri,\n    alors les informations saisies sont stock\u00e9es dans la table sous\n    forme de liens. En suivant l\u0027un de ces liens, ces informations\n    peuvent accidentellement \u00eatre divulgu\u00e9es.\n\n## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation).\n",
  "cves": [],
  "initial_release_date": "2009-07-06T00:00:00",
  "last_revision_date": "2009-07-06T00:00:00",
  "links": [
    {
      "title": "Bulletin de s\u00e9curit\u00e9 Drupal SA-CORE-2009-007 du 01 juillet    2009 :",
      "url": "http://drupal.org/node/507572"
    }
  ],
  "reference": "CERTA-2009-AVI-265",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2009-07-06T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Injection de code indirecte"
    },
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    }
  ],
  "summary": "De multiples vuln\u00e9rabilit\u00e9s dans \u003cspan class=\"textit\"\u003eDrupal\u003c/span\u003e\npermettent de r\u00e9aliser une injection de code indirecte et, dans certains\ncas particuliers, d\u0027ex\u00e9cuter du code arbitraire \u00e0 distance ou de\nprovoquer la divulgation d\u0027un mot de passe.\n",
  "title": "Multiples vuln\u00e9rabilit\u00e9s dans Drupal",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletin de s\u00e9curit\u00e9 Drupal SA-CORE-2009-007 du 01 juillet 2009",
      "url": null
    }
  ]
}