【セキュリティパッチ情報】Facebook Pull - Critical - Cross Site Scripting (XSS) - SA-CONTRIB-2017-011

Submitted by drupal-kanri on 水, 02/15/2017 - 08:43

2017年2月8日(日本時間:GMT+9)、拡張モジュールにおいて 脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID : DRUPAL-SA-CONTRIB-2017-011
●プロジェクト : Facebook Pull (拡張モジュール)
●バージョン : 7.x
●投稿日 :2017/2/8
●セキュリティリスク : Critical

==概要==
このモジュールにより、Facebook API との統合性を付与することが可能になります。
このモジュールは、Facebook からのデータを充分にサニタイジング(無害化)するものではありません。
攻撃者は、悪意のあるコードを Facebook API に阻止されずに通過させる、もしくは、Facebook の DNS (ドメインネームシステム)に変更を加え、API のエンドポイントを作成し直すことができなければ、攻撃を与えることができません。この事実により、上記の脆弱性は緩和されています。

==影響を受けるバージョン==
Facebook Pull7.x-3.1.以前のバージョン。
Drupalコアには影響がありません。Facebook Pull拡張モジュールを使用していない場合は、何もする必要はありません。

==解決方法==
Drupal 7.xのFacebook Pullモジュールを使用している場合はFacebook Pull 7.x-3.1にアップグレードすることをお勧めします。
https://www.drupal.org/project/facebook_pull

==元記事==
https://www.drupal.org/node/2850873