There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - The file download facility doesn't sufficiently sanitize file paths in certain situations. This may result
    in users gaining access to private files that they should not have access to. Some sites may require
    configuration changes following this security release. Review the release notes for your Drupal version if
    you have issues accessing private files after updating. (CVE-2023-31250)

根据其自我报告的版本，远程 Web 服务器上运行的 Drupal 实例为低于 7.96 的 7.x，低于 9.4.14 的 9.4.x、低于 9.5.8 的 9.5.x 或低于 10.0.8 的 10.x。因此，该远程主机受到漏洞的影响。

  - 在某些情况下，文件下载设备未充分审查文件路径。这可能导致用户获得他们本无权访问的私有文件的访问权限。在此安全版本发布之后，某些站点可能需要更改配置。如果您在更新后访问私有文件时遇到问题，请查看 Drupal 版本的发行说明。Drupal Steward 涵盖此公告。
    此漏洞无法大范围利用，因此您的 Steward 合作伙伴可能会以仅监控方式来加以应对，而非强制实施新的 WAF 规则。我们通常不会因此严重程度而发布新版本。但在这种情况下，我们选择应用 Drupal Steward 安全性覆盖范围来测试我们的进程。Drupal 7 Windows Web 服务器上的所有 Drupal 7 站点都容易受到攻击。Linux Web 服务器上的 Drupal 7 站点容易受到某些文件目录结构的影响，或在安装了提供的或自定义的易受攻击文件访问模块时也会容易受到攻击。Drupal 9 和 10 Drupal 9 和 10 站点仅在安装了提供的或自定义的文件访问模块时易受攻击。(SA-CORE-2023-005)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

根據其自我報告的版本，遠端 Web 伺服器上執行的 Drupal 執行個體是 7.96 之前的 7.x 版、9.4.14 之前的 9.4.x 版、9.5.8 之前的 9.5.x 版或 10.0.8 之前的 10.x 版。因此，會受到一個弱點影響。

  - 在某些情況下，檔案下載設施未充分清理檔案路徑。這可能會導致使用者取得他們不應存取的私人檔案的存取權。在此安全公告發佈之後，某些網站可能需要變更組態。如果您在更新後存取私密檔案時遇到問題，請檢閱 Drupal 版本的版本資訊。Drupal Steward 在此公告範圍內。
    由於此弱點不會遭到大規模惡意利用，因此 Steward 合作夥伴可能會以僅監控的方式回應，而非強制執行新的 WAF 規則。我們通常不會就此嚴重性問題申請發佈新版本。但是，針對此情況，我們選擇套用 Drupal Steward 安全性範圍來測試我們的處理程序。Drupal 7 Windows Web 伺服器上的所有 Drupal 7 網站都有弱點。Linux Web 伺服器上的 Drupal 7 網站容易受到某些檔案目錄結構的影響，此外如果該網站安裝了有弱點的提供或自訂檔案存取模組，亦會受到影響。Drupal 9 和 10 Drupal 9 和 10 網站只有在安裝了某些提供或自訂的檔案存取模組時，才會受到影響。(SA-CORE-2023-005)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在某些情況下，檔案下載設施未充分清理檔案路徑。這可能會導致使用者取得他們不應存取的私人檔案的存取權。在此安全公告發佈之後，某些網站可能需要變更組態。如果更新後存取私密檔案有問題請檢閱您的 Drupal 版本資訊。 (CVE-2023-31250)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在某些情况下，文件下载设备未充分审查文件路径。这可能导致用户获得他们本无权访问的私有文件的访问权限。在此安全版本发布之后，某些站点可能需要更改配置。更新后如果无法访问隐私文件请查看您的 Drupal 版本的发行说明。 (CVE-2023-31250)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ファイルダウンロード機能が、特定の状況でのファイルパスのサニタイズが十分ではありません。これにより、ユーザーがアクセスすべきでないプライベートファイルにアクセスする可能性があります。一部のサイトでは、このセキュリティリリース後に構成の変更が必要になる場合があります。更新後にプライベートファイルへのアクセスに問題がある場合は、Drupal バージョンのリリースノートを確認してください。CVE-2023-31250

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

自己報告されたバージョンによると、リモートのウェブサーバーで実行されている Drupal のインスタンスは、7.96 より前の 7.x、9.4.14 より前の 9.4.x、9.5.8 より前の 9.5.x、または 10.0.8 より前の 10.x です。したがって、脆弱性の影響を受けます。

  - ファイルダウンロード機能が、特定の状況でのファイルパスのサニタイズが十分ではありません。これにより、ユーザーがアクセスすべきでないプライベートファイルにアクセスする可能性があります。一部のサイトでは、このセキュリティリリース後に構成の変更が必要になる場合があります。更新後にプライベートファイルへのアクセスに問題がある場合は、Drupal バージョンのリリースノートを確認してください。このアドバイザリは Drupal Steward の対象です。
    この脆弱性は大規模に悪用できないため、Steward パートナーは、新しい WAF ルールを強制するのではなく、監視のみで対応する可能性があります。通常、この重要度のリリースには適用されません。ただし、この場合、プロセスをテストするために Drupal Steward セキュリティカバレッジを適用することを選択しました。Drupal 7 Windows Web サーバー上のすべての Drupal 7 サイトが脆弱です。Linux ウェブサーバーの Drupal 7 サイトは、特定のファイルディレクトリ構造であるか、脆弱なコントリビュートまたはカスタムのファイルアクセスモジュールがインストールされている場合に脆弱です。Drupal 9 および 10 の Drupal 9 および 10 サイトは、特定のコントリビュートまたはカスタムのファイルアクセスモジュールがインストールされている場合にのみ脆弱です。(SA-CORE-2023-005)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

According to its self-reported version, the instance of Drupal running on the remote web server is 7.x prior to 7.96, 9.4.x prior to 9.4.14, 9.5.x prior to 9.5.8, or 10.x prior to 10.0.8. It is, therefore, affected by a vulnerability.

  - The file download facility doesn't sufficiently sanitize file paths in certain situations. This may result     in users gaining access to private files that they should not have access to. Some sites may require     configuration changes following this security release. Review the release notes for your Drupal version if     you have issues accessing private files after updating. This advisory is covered by Drupal Steward.
    Because this vulnerability is not mass exploitable, your Steward partner may respond by monitoring-only,     rather than enforcing a new WAF rule. We would normally not apply for a release of this severity. However,     in this case we have chosen to apply Drupal Steward security coverage to test our processes. Drupal 7 All     Drupal 7 sites on Windows web servers are vulnerable. Drupal 7 sites on Linux web servers are vulnerable     with certain file directory structures, or if a vulnerable contributed or custom file access module is     installed. Drupal 9 and 10 Drupal 9 and 10 sites are only vulnerable if certain contributed or custom file     access modules are installed. (SA-CORE-2023-005)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The file download facility doesn't sufficiently sanitize file paths in certain situations. This may result     in users gaining access to private files that they should not have access to. Some sites may require     configuration changes following this security release. Review the release notes for your Drupal version if     you have issues accessing private files after updating. (CVE-2023-31250)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
412531	SCA: security update for drupal/core (GHSA-8849-cv9f-vccm)	Tenable Self-Hosted Container Security	SCA Checks	1/23/2025	7/2/2026	medium
412531	SCA: security update for drupal/core (GHSA-8849-cv9f-vccm)	Tenable Cloud Security	SCA Checks	1/23/2025	7/2/2026	medium
174488	Drupal 7.x < 7.96 / 9.4.x < 9.4.14 / 9.5.x < 9.5.8 / 10.x < 10.0.8 Drupal 漏洞 (SA-CORE-2023-005)	Nessus	CGI abuses	4/20/2023	3/18/2026	medium
174488	Drupal 7.x < 7.96 / 9.4.x < 9.4.14 / 9.5.x < 9.5.8 / 10.x < 10.0.8 Drupal 弱點 (SA-CORE-2023-005)	Nessus	CGI abuses	4/20/2023	3/18/2026	medium
244505	Linux Distros 未修補的弱點：CVE-2023-31250	Nessus	Misc.	8/6/2025	8/6/2025	medium
244505	Linux Distros 未修补的漏洞：CVE-2023-31250	Nessus	Misc.	8/6/2025	8/6/2025	medium
244505	Linux Distros のパッチ未適用の脆弱性: CVE-2023-31250	Nessus	Misc.	8/6/2025	8/6/2025	medium
174488	Drupal 7.x< 7.96/ 9.4.x< 9.4.14/ 9.5.x< 9.5.8/ 10.x< 10.0.8Drupalの脆弱性 (SA-CORE-2023-005)	Nessus	CGI abuses	4/20/2023	3/18/2026	medium
174488	Drupal 7.x < 7.96 / 9.4.x < 9.4.14 / 9.5.x < 9.5.8 / 10.x < 10.0.8 Drupal Vulnerability (SA-CORE-2023-005)	Nessus	CGI abuses	4/20/2023	3/18/2026	medium
244505	Linux Distros Unpatched Vulnerability : CVE-2023-31250	Nessus	Misc.	8/6/2025	8/6/2025	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium