{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Drupal versions 6.x ant\u00e9rieures \u00e0 6.18 ;",
      "product": {
        "name": "Drupal",
        "vendor": {
          "name": "Drupal",
          "scada": false
        }
      }
    },
    {
      "description": "Drupal versions 5.x ant\u00e9rieures \u00e0 5.23.",
      "product": {
        "name": "Drupal",
        "vendor": {
          "name": "Drupal",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": null,
  "content": "## Description\n\nDe multiples vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 d\u00e9couvertes dans Drupal :\n\n-   l\u0027authentification par le module OpenID peut \u00eatre contourn\u00e9e du fait\n    d\u0027un manque de v\u00e9rifications. Cette vuln\u00e9rabilit\u00e9 est pr\u00e9sente dans\n    les versions 6.x de Drupal. Les versions 5.x ne sont affect\u00e9es que\n    si le module tiers OpenID a \u00e9t\u00e9 install\u00e9 ;\n-   un utilisateur malintentionn\u00e9 peut d\u00e9poser un fichier dont le nom\n    correspond \u00e0 un fichier existant d\u00e9j\u00e0 dans la base de donn\u00e9es, \u00e0 la\n    casse pr\u00e8s. Dans ce cas, un acc\u00e8s \u00e0 l\u0027autre fichier portant le m\u00eame\n    nom est accord\u00e9 ;\n-   une vuln\u00e9rabilit\u00e9 dans le module des commentaires permet de\n    republier des commentaires n\u0027apparaissant pas ;\n-   plusieurs injections de code indirectes existent dans divers modules\n    (versions 6.x).\n\n## Solution\n\nLes versions 5.23 et 6.18 ou 6.19 corrigent ces vuln\u00e9rabilit\u00e9s. La\nversion 6.19 ne corrige aucune vuln\u00e9rabilit\u00e9 par rapport \u00e0 la version\n6.18.\n",
  "cves": [],
  "initial_release_date": "2010-08-17T00:00:00",
  "last_revision_date": "2010-08-17T00:00:00",
  "links": [],
  "reference": "CERTA-2010-AVI-386",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2010-08-17T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Injection de code indirecte \u00e0 distance"
    },
    {
      "description": "Contournement de la politique de s\u00e9curit\u00e9"
    },
    {
      "description": "Atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es"
    }
  ],
  "summary": "De multiples vuln\u00e9rabilit\u00e9s dans \u003cspan class=\"textit\"\u003eDrupal\u003c/span\u003e\npermettent notamment de lire certains fichiers, de se connecter ind\u00fbment\net de r\u00e9aliser des injections de code indirectes.\n",
  "title": "Multiples vuln\u00e9rabilit\u00e9s dans Drupal",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletin de s\u00e9curit\u00e9 SA-CORE-2010-002 du 11 ao\u00fbt 2010",
      "url": "http://drupal.org/node/880476"
    }
  ]
}