San Drupalgeddon 2, flagello dei siti

Patrono dei siti web in Drupal, dei form che si fidano dell'input e degli amministratori di mezzo internet.

Vita

Il 28 marzo 2018 Drupal pubblicò l'avviso per la CVE-2018-7600, subito ribattezzata Drupalgeddon 2. Un difetto nella gestione dei parametri dei form permetteva a chiunque, senza autenticarsi, di eseguire codice sul sito. Punteggio 9.8, un sacco di siti esposti e, nel giro di pochi giorni, scanner e botnet all'opera. Finì nel catalogo CISA delle vulnerabilità sfruttate.

Preghiera

O San Drupalgeddon 2, che entri dal modulo di contatto, fa' che i nostri form non prendano gli ordini dai visitatori. Amen.

Come si festeggia

Si festeggia aggiornando Drupal a 7.58, 8.5.1 o successive il giorno stesso dell'avviso, senza rimandare.

Form che si fida, sito che cade.