【漏洞详情】

Drupal是使用PHP语言编写的开源内容管理框架。近日Drupal官方发布安全更新，修复了一个Drupal任意文件上传漏洞( CVE-2020-13671)。由于Drupal core 没有正确处理上传文件中的某些文件名，通过上传恶意扩展名的文件，可实现远程代码执行。

【漏洞评级】

高危

【 影响范围】

l  Drupal < 9.0.8

l  Drupal < 8.9.9

l  Drupal < 8.8.11

l  Drupal < 7.7.4

【修复建议】

官方已经提供最新版本，建议受影响的用户结合实际业务评估漏洞风险影响，可通过升级安全版本避免安全风险。

【参考链接】

https://www.drupal.org/sa-core-2020-012

特别提醒：清除恶意文件前请进行充分测试，并务必做好数据备份和快照，防止出现意外。

平安云

2020年11月20日