Software-update: Drupal 7.66 / 8.5.15 / 8.6.15

Er zijn updates verschenen voor versies 7, 8.5 en 8.6 van Drupal, die een kwetsbaarheid in jQuery moeten verhelpen. Drupal is een in php geschreven, gebruiksvriendelijk en krachtig contentmanagementplatform, waarmee bijvoorbeeld websites kunnen worden gemaakt. Het is eenvoudig genoeg voor een beginnende gebruiker, maar krachtig genoeg om ook een wat complexere website te bouwen. Het programma bevat een contentmanagementplatform en een development-framework. Meer informatie over de kwetsbaarheid kan hieronder worden gevonden:

Security risk: Moderately critical 10∕25 AC:Complex/A:Admin/CI:Some/II:Some/E:Theoretical/TD:Uncommon

Vulnerability: Cross Site Scripting.

Description: The jQuery project released version 3.4.0, and as part of that, disclosed a security vulnerability that affects all prior versions. As described in their release notes:

jQuery 3.4.0 includes a fix for some unintended behavior when using jQuery.extend(true, {}, ...). If an unsanitized source object contained an enumerable __proto__ property, it could extend the native Object.prototype. This fix is included in jQuery 3.4.0, but patch diffs exist to patch previous jQuery versions.

It's possible that this vulnerability is exploitable with some Drupal modules. As a precaution, this Drupal security release backports the fix to jQuery.extend(), without making any other changes to the jQuery version that is included in Drupal core (3.2.1 for Drupal 8 and 1.4.4 for Drupal 7) or running on the site via some other module such as jQuery Update.

Solution: Install the latest version:

• If you are using Drupal 8.6, update to Drupal 8.6.15.
• If you are using Drupal 8.5 or earlier, update to Drupal 8.5.15.
• If you are using Drupal 7, update to Drupal 7.66.

Versions of Drupal 8 prior to 8.5.x are end-of-life and do not receive security coverage.

Versienummer	7.66 / 8.5.15 / 8.6.15
Releasestatus	Final
Besturingssystemen	Scripttaal
Website	Drupal
Download	https://ftp.drupal.org/files/projects/drupal-8.6.15.tar.gz
Licentietype	GPL

Reacties (9)

[kikker81]

Je zal het moeten onderhouden.
Hetzefde als Wordpress en Joomla en gelijksoortige molochs, het is gewoon super inefficiënt en alleen de moeite waard als je een kant en klare template pakt en zo snel en goedkoop mogelijk een website wil inclusief content management systeem.
In veel gevallen is het makkelijker om diegene die het onderhoud aan een website doet wat basis html te leren en gewoon een website op te zetten in plain html.

[ViveUtVivas]

Ja je moet het onderhouden, daar heb je gelijk in.
Ook als je een site hebt puur ter info met maar 5 pagina`s ofzo kan ik statisch basis html nog inzien.

Maar een site waarin je veel pagina`s hebt met veel verschillende onderwerpen/inhoud is een statische site maken echt een gedrocht.
Je moet dan alle links en dergelijke ook met de hand aan gaan maken.
Daarin zit de kracht van een CMS ook zie je dit veelal in combinatie met een webshop.

[Verwijderd]

Yes! En niet te vergeten: herbruikbare content zoals nieuws of producten ("andere klanten die dit lazen vinden dit ook interessant"). Je krijgt dan een dynamische website die nog steeds makkelijker onderhoudbaar is.

En als je de indeling wijzigt in een Wordpress 9nieuwe huisstijl) dan ben je vaak klaar met een nieuw template en alle pagina's volgen netjes mee. Ja; dit kan ook met enkel CSS. Maar dat kan niet door een leek gedaan worden en is tijdrovend/foutgevoelig.

Een geheel statische site is een uitzondering aan het worden. Maar mocht je dat wel willen inclusief het gemak van een CMS die het voor je in elkaar zet: je kunt 'm maken met een WordPress. Gebruik een Cache-plugin zoals Swift performance en laat die de html pre-renderen. Copy/paste, wat HTaccess aanpassen en wat basis HTML aanpassen en klaar.

[delphium]

En nou heb je een website met +15.000 pagina's met 100.000 bezoekers per maand. Dan is HTML echt geen optie meer. Wij onderhouden hier een stuk of 20 Drupal websites verdeeld over vier servers. Zeker in combinatie met Git en Composer is dat eigenlijk een fluitje van een cent.

Ook ik vloek wel eens bij de zoveelste update voor Drupal, maar an de andere kant zijn ze super snel met fixes en heb ik in acht jaar tijd nog nooit grote problemen gehad met Drupal.

[Verwijderd]

Bedrijven hebben websites nodig die die flexibel zijn en meegroeien. Daarnaast moet een digitale omgeving ook makkelijk kunnen integreren met bestaande systemen, zoals een marketingplatform of boekhoudprogramma. Probeer dat maar eens met een statische website.

Wat onderhoud betreft: er zijn tools om deze uitdaging op een efficiënte manier aan te gaan. Bij Dropsolid willen we bij zo'n security probleem natuurlijk liefst zo snel mogelijk al onze 1300 sites updaten. We schreven een post over hoe we dit doen.

[theduke1989]

Is het nouw mogleijk om Drupal ook als webshop los te gebruiken ipv een losse extension wat gekoppeld is aan de ''website''

[Mar2zz]

Ik weet niet zeker of ik je vraag begrijp. Dat heet een distributie bij Drupal, oftewel installatie profielen die out of the box al redelijk compleet geconfigureerd zijn. Commerce, commerce kickstart en ubercart zijn Drupal based webshops.

[Eusebius]

Voor een klein, privé-winkeltje kan dit. Maar als je meer producten hebt, inzet op continuïteit en verschillende gebruikers, dan heeft een CMS zoals Drupal of alternatief zeker bestaansrecht.

Als je Drupal installeert, is het kaal. De modules maken het geheel flexibel. Niet voor niets wordt Drupal wel vergeleken met Lego. Elk stapje of elke functionaliteit moet je instellen. Dat kan heel frustrerend zijn, maar als je het éénmaal doorhebti, is het heerlijk om mee te werken.

[Zidane007nl]

Er is trouwens nog een security advisory uitgebracht die alleen van toepassing is op Drupal 8: https://www.drupal.org/sa-core-2019-005.
Hier heb ik geen email van ontvangen.