{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Drupal versions 5.x ant\u00e9rieures \u00e0 5.20 ;",
      "product": {
        "name": "Drupal",
        "vendor": {
          "name": "Drupal",
          "scada": false
        }
      }
    },
    {
      "description": "Drupal versions 6.x ant\u00e9rieures \u00e0 6.14.",
      "product": {
        "name": "Drupal",
        "vendor": {
          "name": "Drupal",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": null,
  "content": "## Description\n\nDe multiples vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 d\u00e9couvertes dans Drupal :\n\n-   une injection de requ\u00eates ill\u00e9gitimes par rebond permet d\u0027ajouter\n    des identit\u00e9s OpenID \u00e0 des comptes actifs (versions 6.x) ;\n-   une erreur dans l\u0027impl\u00e9mentation du module OpenID permet \u00e0 un\n    utilisateur d\u0027acc\u00e9der \u00e0 un autre compte que le sien lorqu\u0027ils ont le\n    m\u00eame fournisseur OpenID 2.0 (versions 6.x) ;\n-   le d\u00e9p\u00f4t de fichiers avec certaines extensions n\u0027est pas\n    correctement trait\u00e9, ce qui permet une ex\u00e9cution de code arbitraire\n    \u00e0 distance. Toutefois, les fichiers sont stock\u00e9s dans un r\u00e9pertoire\n    prot\u00e9g\u00e9 par un fichier .htaccess qui emp\u00eache leur ex\u00e9cution (sauf si\n    le serveur Apache est configur\u00e9 pour ignorer ces directives)\n    (versions 6.x) ;\n-   l\u0027identifiant de session n\u0027est pas r\u00e9initialis\u00e9 lorsqu\u0027un\n    utilisateur anonyme suit un lien lors d\u0027une proc\u00e9dure de mot de\n    passe oubli\u00e9. Cet identifiant de session peut, sous certaines\n    conditions, \u00eatre rejou\u00e9 (versions 5.x).\n\n## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation).\n",
  "cves": [],
  "initial_release_date": "2009-09-23T00:00:00",
  "last_revision_date": "2009-09-23T00:00:00",
  "links": [
    {
      "title": "Bulletin de s\u00e9curit\u00e9 Drupal SA-CORE-2009-008 du 16    septembre 2009 :",
      "url": "http://drupal.org/node/579482"
    }
  ],
  "reference": "CERTA-2009-AVI-393",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2009-09-23T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Injection de requ\u00eates ill\u00e9gitimes par rebond (CSRF)"
    },
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    },
    {
      "description": "Acc\u00e8s non autoris\u00e9 \u00e0 un compte"
    },
    {
      "description": "Contournement de la politique de s\u00e9curit\u00e9"
    }
  ],
  "summary": "De multiples vuln\u00e9rabilit\u00e9s dans \u003cspan class=\"textit\"\u003eDrupal\u003c/span\u003e\npermettent d\u0027acc\u00e9der de fa\u00e7on ill\u00e9gitime \u00e0 des comptes et, dans certains\ncas, d\u0027ex\u00e9cuter du code arbitraire \u00e0 distance.\n",
  "title": "Multiples vuln\u00e9rabilit\u00e9s dans Drupal",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletin de s\u00e9curit\u00e9 Drupal SA-CORE-2009-008 du 16 septembre 2009",
      "url": null
    }
  ]
}