Разработчики Drupal рекомендуют всем владельцам сайтов на этом движке срочно установить вышедшие вчера обновления. Все дело в обнаруженной в ядре CMS критической уязвимости.
Дыра оказалась настолько серьезной, что команда Drupal решила предупредить администраторов сайтов за день до выхода обновлений. Злоумышленники могут использовать эту уязвимость (CVE-2019-6340), чтобы получить контроль над атакуемым сайтом.
Более того, потенциально эта брешь может быть использована для захвата сервера. Согласно опубликованной информации, брешь присутствует из-за того, что некоторые типы файлов некорректно фильтруют данные, полученные из источников вроде RESTful.
Это приводит к возможности выполнения PHP-кода. До установки необходимых обновлений владельцы сайтов могут отключить все модули веб-служб, также рекомендуется запретить запросы вида PUT/PATCH/POST к таким модулям.
