Drupal · Drupal core
CVE-2020-13671
Drupal core Un-restricted Upload of File
已被用于攻击
高 8.8 受攻击概率：36%
这是什么
Drupal core does not properly sanitize certain filenames on uploaded files, which can lead to files being interpreted as the incorrect extension and served as the wrong MIME type or executed as PHP for certain hosting configurations. This issue affects: Drupal Drupal Core 9.0 versions prior to 9.0.8, 8.9 versions prior to 8.9.9, 8.8 versions prior to 8.8.11, and 7 versions prior to 7.74.
CISA: Improper sanitization in the extension file names is present in Drupal core.
该怎么做
Apply updates per vendor instructions.
美国联邦机构的修复期限：2022年7月18日
Drupal 的其他被利用漏洞
| 加入日期 | 漏洞 | 产品 | 严重程度 | 受攻击概率 |
|---|---|---|---|---|
| 2021年11月3日 | Core Remote Code Execution | Drupal Core | 严重 9.8 | >99.9% |
| 2026年5月22日 | SQL Injection | Core | 严重 9.8 | 89% |
| 2022年4月13日 | Remote Code Execution | Core | 高 8.1 | 99.2% |
| 2022年3月25日 | Remote Code Execution | Core | 高 8.1 | 92% |
来源：Known Exploited Vulnerabilities（CISA，公有领域）、CVE records（cve.org）和 EPSS（FIRST）。受攻击概率是 EPSS 对未来 30 天内有人尝试利用该漏洞的估计。