製品・ソフトウェアに関する情報
Vulnerability Search
Drupal および vbDrupal の comment_form_add_preview 関数における任意のコードを実行される脆弱性
Title Drupal および vbDrupal の comment_form_add_preview 関数における任意のコードを実行される脆弱性
Summary

Drupal および vbDrupal の comment.module の comment_form_add_preview 関数には、"通常フォーム検証ルーチン" 処理に不備があるため、任意のコードを実行される脆弱性が存在します。

Possible impacts "コメント投稿" 権限および入力フィルタへのアクセス権限を伴う第三者により、コメントをプレビューされることで、任意のコードを実行される可能性があります。
Solution

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date Jan. 29, 2007, midnight
Registration Date June 26, 2012, 3:46 p.m.
Last Update June 26, 2012, 3:46 p.m.
CVSS2.0 : 危険
Score 7.6
Vector AV:N/AC:H/Au:N/C:C/I:C/A:C
Affected System
Drupal
Drupal 4.7.6 および 5.1 未満の 5.x
vbdrupal
vbdrupal 
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
0 [2012年06月26日]
  掲載		 Feb. 17, 2018, 10:37 a.m.
NVD Vulnerability Information
CVE-2007-0626
Summary

The comment_form_add_preview function in comment.module in Drupal before 4.7.6, and 5.x before 5.1, and vbDrupal, allows remote attackers with "post comments" privileges and access to multiple input filters to execute arbitrary code by previewing comments, which are not processed by "normal form validation routines."

Summary

La función comment_form_add_preview en comment.module en Drupal anterior a versión 4.7.6, y versión 5.x anterior a 5.1, y vbDrupal, permite a los atacantes remotos con privilegios de "post comments" y acceso a múltiples filtros de entrada para ejecutar código arbitrario mediante la previsualización de comentarios, que no son procesados por "normal form validation routines".

Publication Date Feb. 1, 2007, 3:28 a.m.
Registration Date Jan. 29, 2021, 2:06 p.m.
Last Update April 23, 2026, 9:35 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:drupal:drupal:*:*:*:*:*:*:*:* 4.7.0 4.7.6
cpe:2.3:a:drupal:drupal:*:*:*:*:*:*:*:* 5.0 5.1
Related information, measures and tools
Common Vulnerabilities List