Drupal 4.7.11/5.6 frigivet

Halvanden time før Drupal 6RC2 blev frigivet, kom der endnu en sikkerheds opdatering af 4.7 og 5. Der er linket til 3 advisories i announcement'en:

Den første angår aggregator modulet, som har et XSS problem med fjernelse af indlæg fra RSS feeds, der gør det muligt for en angriber at få en administrator til ubevist at fjerne RSS posts.

Den anden angår IE, der ikke håndter UTF8 korrekt, hvilket kan bruges til at få den til at ignorere nogen tegn.

Sidste advarer om at template filer er sårbare overfor XSS attacks hvis Drupals .htaccess fil bliver ignoreret og register_globals er sat til. Men register_globals er generelt også farlig.

De fleste bør upgradere af hensyn til nummer 2, men folk bør nok lige læse den sidste for at se om de har noget de bør kigge på.

http://drupal.org/drupal-5.6