NVD Vulnerability Detail

CVE-2019-6341

Summary	In Drupal 7 versions prior to 7.65; Drupal 8.6 versions prior to 8.6.13;Drupal 8.5 versions prior to 8.5.14. Under certain circumstances the File module/subsystem allows a malicious user to upload a file that can trigger a cross-site scripting (XSS) vulnerability.
Publication Date	March 27, 2019, 3:29 a.m.
Registration Date	Jan. 26, 2021, 11:43 a.m.
Last Update	Nov. 21, 2024, 1:46 p.m.

CVSS3.0 : MEDIUM
スコア	5.4
Vector	CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
攻撃元区分(AV)	ネットワーク
攻撃条件の複雑さ(AC)	低
攻撃に必要な特権レベル(PR)	低
利用者の関与(UI)	要
影響の想定範囲(S)	変更あり
機密性への影響(C)	低
完全性への影響(I)	低
可用性への影響(A)	なし

CVSS2.0 : LOW
Score	3.5
Vector	AV:N/AC:M/Au:S/C:N/I:P/A:N
攻撃元区分(AV)	ネットワーク
攻撃条件の複雑さ(AC)	中
攻撃前の認証要否(Au)	単一
機密性への影響(C)	なし
完全性への影響(I)	低
可用性への影響(A)	なし
Get all privileges.	いいえ
Get user privileges	いいえ
Get other privileges	いいえ
User operation required	はい

Affected software configurations

Configuration1	or higher	or less	more than	less than
cpe:2.3:a:drupal:drupal::::::::	7.0			7.65
cpe:2.3:a:drupal:drupal::::::::	8.5.0			8.5.14
cpe:2.3:a:drupal:drupal::::::::	8.6.0			8.6.13

Configuration2		or higher	or less	more than	less than
cpe:2.3:o:debian:debian_linux:8.0:::::::*

Configuration3	or higher	or less	more than	less than
cpe:2.3:o:fedoraproject:fedora:28:::::::*
cpe:2.3:o:fedoraproject:fedora:29:::::::*

Related information, measures and tools

No	URL	タグ
1	https://lists.debian.org/debian-lts-announce/2019/04/msg00003.html	Mailing List Third Party Advisory
2	https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/IWHF4LALNBZCXMITWWVWKY3PNVYTM3N7/
3	https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/P4KTET2PTSIS3ZZ4SGBRQEN6CCLV5SYX/
4	https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QNTLCBAN6T7WYR5C4TNEYQD65IIR3V4P/
5	https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/Y4SVTVIJ33XCFQ6X6XTVMQM3NPLP2WFS/
6	https://www.drupal.org/sa-core-2019-004	Patch Vendor Advisory
7	https://www.synology.com/security/advisory/Synology_SA_19_13
8	https://lists.debian.org/debian-lts-announce/2019/04/msg00003.html	Mailing List Third Party Advisory
9	https://www.synology.com/security/advisory/Synology_SA_19_13
10	https://www.drupal.org/sa-core-2019-004	Patch Vendor Advisory
11	https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/Y4SVTVIJ33XCFQ6X6XTVMQM3NPLP2WFS/
12	https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QNTLCBAN6T7WYR5C4TNEYQD65IIR3V4P/
13	https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/P4KTET2PTSIS3ZZ4SGBRQEN6CCLV5SYX/
14	https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/IWHF4LALNBZCXMITWWVWKY3PNVYTM3N7/

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-79	クロスサイト・スクリプティング（XSS）	https://cwe.mitre.org/data/definitions/79.html

JVN Vulnerability Information

Drupal におけるクロスサイトスクリプティングの脆弱性

Title	Drupal におけるクロスサイトスクリプティングの脆弱性
Summary	Drupal には、クロスサイトスクリプティングの脆弱性が存在します。
Possible impacts	情報を取得される、および情報を改ざんされる可能性があります。
Solution	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date	March 20, 2019, midnight
Registration Date	April 24, 2019, 5:06 p.m.
Last Update	April 24, 2019, 5:06 p.m.

Affected System

Drupal

Drupal 7 以上 7.65 未満

Drupal 8.5 以上 8.5.14 未満

Drupal 8.6 以上 8.6.13 未満

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2019-6341	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-6341
National Vulnerability Database (NVD)
2	CVE-2019-6341	https://nvd.nist.gov/vuln/detail/CVE-2019-6341

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-79	https://jvndb.jvn.jp/ja/cwe/CWE-79.html

ベンダー情報

No	Name	URL
Security advisories
1	SA-CORE-2019-004	https://www.drupal.org/sa-core-2019-004

Change Log

No	Changed Details	Date of change
1	[2019年04月24日] 掲載	April 24, 2019, 5:06 p.m.