Software-update: Drupal 9.2.20 / 9.3.14

Er zijn updates uitgekomen voor Drupal versies 9.2 en 9.3. Drupal is een in php geschreven, gebruiksvriendelijk en krachtig contentmanagementplatform, waarmee bijvoorbeeld websites kunnen worden gemaakt. Het is eenvoudig genoeg voor een beginnende gebruiker, maar krachtig genoeg om ook een wat complexere website te bouwen. Het programma bevat een contentmanagementplatform en een developmentframework. De updates bevatten een nieuwe versie van de Guzzle library, die een beveiligingsprobleem moet verhelpen.

Drupal core - Moderately critical - Third-party libraries - SA-CORE-2022-010

Project: Drupal core
Date: 2022-May-25
Security risk: Moderately critical 13∕25 AC:Complex/A:None/CI:Some/II:Some/E:Theoretical/TD:Uncommon
Vulnerability: Third-party libraries
CVE IDs: CVE-2022-29248

Description:

Drupal uses the third-party Guzzle library for handling HTTP requests and responses to external services. Guzzle has released a security update which does not affect Drupal core, but may affect some contributed projects or custom code on Drupal sites.

We are issuing this security advisory outside our regular Drupal security release window schedule since Guzzle has already published information about the vulnerability, and vulnerabilities might exist in contributed modules or custom modules that use Guzzle for outgoing requests. Guzzle has rated this vulnerability as high-risk.

This advisory is not covered by Drupal Steward.

Solution: Install the latest version:

• If you are using Drupal 9.3, update to Drupal 9.3.14.
• If you are using Drupal 9.2, update to Drupal 9.2.20.

All versions of Drupal 9 prior to 9.2.x are end-of-life and do not receive security coverage. Note that Drupal 8 has reached its end of life.

Drupal 7 is not affected.

Versienummer	9.2.20 / 9.3.14
Releasestatus	Final
Besturingssystemen	Scripttaal
Website	Drupal
Download	https://ftp.drupal.org/files/projects/drupal-9.3.14.tar.gz
Licentietype	GPL

Reacties (31)

[MotorLum]

Ik heb het idee dat Drupal niet de favoriete CMS momenteel is. Ik kan mijj vergissen, in mijn omgeving ken ik geen ontwikkelaars die Drupal gebruilken.

Zijn er tweakers die andere ervaringen hebben met de populariteit van Drupal?

[dsmink]

Ongetwijfeld zal WordPress het meest favoriete (meest gebruikte) CMS zijn binnen de PHP community.
Het bedrijf waar ik voor werk is sinds 2018 overgestapt van WordPress naar Drupal. Destijds heeft een zeer groot merk in de automotive ervoor gekozen om het Drupal platform te gebruiken. Wij hebben destijds dat platform voor hun gebouwd.

Inmiddels hebben we naast dit merk een eigen platform (multi platform) ontwikkeld en zijn er nog wat losse merk specifieke platformen ontstaan waar gezamenlijk zo'n 100+ automotive websites op draaien.

Voor al onze producten hebben we Drupal modules ontwikkeld. Inmiddels draait alles op Drupal 9 en ik kan niet zeggen dat ik zelf (als backend developer) daar ontevreden over ben. Zelf heb ik nooit met WordPress gewerkt (ook geen ambities), maar ik heb wel ervaren dat de lat voor Drupal wat hoger ligt dan voor WordPress. Mogelijk is dat ook de reden dat het niet het meest favoriete CMS is.

Overigens zal voor alle CMS systemen wel wat te zeggen zijn. Er zijn voordelen en nadelen.

Binnenkort (1 juni) is ook de Drupal JAM weer. Als je daar naartoe gaat zul je zien dat Drupal echt enorm actief gebruikt wordt binnen de PHP community.

[Reactie gewijzigd door dsmink op 23 juli 2024 05:14]

[HollowGamer]

Jammer dat je niet echt de nadelen benoemt van Drupal, daar zijn namelijk genoeg van te bedenken.

Op de eerste plaats zijn ontwikkelaars vinden die Drupal (nog) gebruiken. Als ik na vacatures kijk, dan zijn het vooral Laravel, JS/TS/node/.., of zelfs WP.

Drupal heeft schijnbaar heel lang gewacht met het herschrijven voor versie 8/9, maar zelfs dan is die code echt inconsistent en onduidelijk t.o.v. andere CMS'en/frameworks. Er zijn nog maar weinig modules te vinden, de helft werkt niet (of sloopt je installatie), en dan heb ik het nog niet eens gehad over de kwaliteit ervan.

Ik ben blij dat jullie er goed mee kunnen werken, maar ik vond het echt een draak t.o.v. WP en een framework als Laravel. Drupal wilt toch een soort hybride zijn (CMS/framework), maar de opzet ervan overtuigd mij totaal niet.

[dsmink]

Nou ja. De nadelen zijn wel dat de leercurve veel steiler is dan die van b.v. WordPress. Maar goed. Ik wil hiermee niet zeggen dat WordPress beter is, of Drupal juist beter.

Persoonlijk houd ik wel van strict code. En Drupal dwingt je echt in een bepaalde werkwijze. Iets waar je in WordPress weer heel erg vrij in bent.

Maar ieder mag die keuze maken. MotorLum gaf aan dat hij het idee heeft dat Drupal niet veel gebruikt wordt. Die indruk heb ik zelf minder. Wordt het meer gebruikt dan WordPress? Nee. Is er een vaste groep ontwikkelaars die Drupal trouw zijn. Zeker!

En een CMS vergelijken met een framework doe ik niet zo snel. Ze dienen mijns inziens niet (helemaal) hetzelfde doel

[Faeron]

Drupal is een groot en lomp gedrocht geworden. 80 MB in een kale installatie is niet oke. Wat je met Drupal kan bouwen, doe ik beter, sneller en veiliger met mijn framework van 5 MB. Uit mijn ervaring denken vele ontwikkelaars er zo over. Het is zo groot geworden, dat je qua code er niks meer aan kan veranderen. Het hooking systeem is een grote valkuil, waarbij je (uit mijn ervaring uit een ver verleden) door een wijziging in een enkele module de hele website kapot kan maken. Ik ken nu eigenlijk niemand die blij wordt van Drupal.

[Cartman!]

Klinkt als "not invented here"-syndroom. Opslag is goedkoop, 80MB is niets.

[Faeron]

Je snapt het niet. Het gaat niet om de opslagruimte. Het gaat erom dat 80MB voor een website CMS volslagen idioot is. Veel te veel, maar dan ook echt veel te veel code voor zoiets eenvoudigs, dat kan geen kwaliteitscode zijn.

En nee, Drupal is zeker not invented here. Wat een puinzooi.

[Cartman!]

Drupal maakt veelvuldig gebruik van 3rd party libraries die de dingen een stuk beter voor elkaar hebben dan een hobbyist in z'n eentje kan. Je "puinzooi" neem ik niet serieus, elk stuk code heeft bugs, ook open source. Iets dat gebruikt wordt voor miljoenen sites ligt gewoon onder een vergrootglas.

[Reactie gewijzigd door Cartman! op 23 juli 2024 05:14]

[Faeron]

...elk stuk code heeft bugs...

Je zegt het alsof securitybugs in code iets vanzelfsprekends is. Als je continue troep zoals Drupal gebruikt, dan snap ik dat je dat beeld overhoudt. Al die bekende securitybugs zoals SQLi, XSS, CSRF, etc, die zijn echt niet meer nodig.

[Cartman!]

Ik gebruik zelf geen Drupal maar dergelijke bugs komen ook voor in andere open source projecten. 127 issues waarvan slechts 1(!) in de afgelopen 2 jaar vind ik ongelofelijk netjes. De meeste issues die je aanhaalt zijn werkelijk jaren oud en waren van toepassing op Drupal 7 en ouder, niet echt relevant.

Onder de streep ga je met een eigen gebrouwen framework het niets beter doen dan zij (waarschijnlijk zelfs slechter). Even aannemende dat je eigen framework dezelfde hoeveelheid features heeft, anders vergelijk je natuurlijk appels en peren.

[Faeron]

Onder de streep ga je met een eigen gebrouwen framework het niets beter doen dan zij...

Met gemak!

[Cartman!]

Ik betwijfel ten zeerste dat je een CMS hebt gebouwd in je eentje die kan concurreren met Drupal qua features maargoed...stel dat het zo is; wel eens een pentest laten uitvoeren?

Als je in 2022 je eigen framework nog aan het bouwen bent dan zou je lead moeten zijn van een groot open source project of je bent een amateur die lijdt aan "not invented here" syndroom.

[Faeron]

Veel Drupal 'features' zijn niet meer dan overbodige ballast. Maken het CMS onnodig complex.

Een pentest? Ja zeker. De vorige versie van security.nl draaide op mijn framework. Je snap dat zo'n site vele hackpoging krijgt. Onlangs heeft iemand een pentest gedaan op een site die met mijn framework gebouwd is. Niks kunnen vinden.

En wat betreft je laatste opmerking, dat is wel een heel erg eenzijdige zwart/wit kijk op softwareontwikkeling.

[Cartman!]

Veel Drupal 'features' zijn niet meer dan overbodige ballast. Maken het CMS onnodig complex.

Tja, zo ken ik er ook nog wel een paar. Appels en peren dus zoals ik al zei.

Waar kunnen we de source code vinden van je framework om eens te neuzen?

[Faeron]

https://gitlab.com/hsleisink/banshee

En ik weet nu al dat je gaat zeggen dat het 'oude stijl' code is. Die opmerking heb ik al 100x gehoord, maar dat boeit me niet. Die opmerking hoef je dus alvast niet meer te maken. Ik ben niet geinteresseerd in wat hip en modern is. Ik ga voor stabiliteit, eenvoud en veiligheid.

[Cartman!]

Ik waardeer het dat je t deelt maar ik kan dit inderdaad niet echt serieus nemen.

[Faeron]

Die mening mag je hebben. Kan je het ook onderbouwen of is het bij jou stiekem niet meer dan het not-invented-here syndroom dat speelt?

Feit is wel dat met mijn framework veilige, snelle en stabiele websites gebouwen kunnen worden. Wat meer dan dat is er nodig? Wat vele jonge ontwikkelaars niet willen accepteren is dat 'goed' vaak goed genoeg is. Innovatie is niet altijd beter. Het nieuwste, modernste, vooral hipste framework gebruiken leidt niet per se tot betere websites.

[Cartman!]

Niet perse dat er iets mis mee is maar dit is een hobbymatig project die elke vorm van modernheid uit de weg gaat. Dat mag maar ga dan geen vergelijking maken met iets als Drupal die daadwerkelijk het doel heeft om als basis te pakken en gestructureerd op verder te bouwen. Als ik in jouw framework een feature wil toevoegen, moet ik dan in jouw code base een .php file ergens erbij prakken en dan maar uitvogelen hoe ik alles doe? Hoe kan ik upgraden als ik ergens iets hardcoded heb moeten aanpassen om een feature toe te voegen? Zo kan ik ook wel zeggen dat ik alles veilig maak als je er als developer verder niets mee mag doen.

[Faeron]

Duidelijk, je hebt er dus niet echt naar gekeken. Dat zal ik jouw opmerking ook niet echt serieus nemen. Laten we het hier bij laten. Fijne dag verder!

[Cartman!]

Je bedoelt dit? Kom op zeg... hoe kan ik bijvoorbeeld iets als OpenID Connect of SAML inbouwen als ik dat nodig zou hebben? Hoe kan ik dit gebruiken met PostgreSQL? Hoe kan ik een wijziging doen of feature toevoegen aan de werking van de webshop? Hoe implementeer ik MFA voor de admin? Zomaar even wat simpele dingen die ik kan verzinnen.

[Verwijderd]

Framework != cms, je vergeet dat een fontawesome of bootstrap ook ruimte kost, ikzelf ben een cms aan het bouwen op mijn framework en een editor gebruikt zomaar 40 mb en fontawesome 25, zit je zomaar aan de 65 mb en heb je nog niets

[HollowGamer]

Drupal wilt een hybride CMS zijn. Je kunt bijvoorbeeld het gebruiken als API of beide.

[Faeron]

Nou, nee. Ik heb CKEditor 5 in mijn framework zitten en rond de 6 MB gebleven. In een website heb ik fontawesome gebruikt en dat kost me 1MB aan schijfruimte. 65MB, sorry, maar dan doe je toch echt iets niet goed.

[Cartman!]

Het is meer enterprise geworden dan iets voor hobbyisten de laatste jaren vanuit mijn perspectief. Wordt zeker nog veel gebruikt ieder geval.

[REDSD]

Ik heb drupal gebruikt van 4 tot en met drupal 7, daarna ben ik overgestapt op Laravel framework.
De voornaamste reden voor mij was dat met de introductie van drupal 8 & 9 er weer veel opnieuw uitgezocht moest worden. Documentatie was en volgens is tot op de dag van vandaag erg matig. Ik heb een 3 tal drupal modules gebouwd en gereleased en één omgezet naar drupal 9.

Ik heb daarnaast ook een aantal Wordpress sites gebouwd, wat vooral kleine informatieve website of webshops waren.

Nu als programmeur zijnde kies ik liever voor Laravel, vanwege de betere documentatie, simpelere code base, sneller.

Als het gaat om een keuze maken, denk ik dat voor iemand zonder programmeer kennis of zonder ondersteuning van een programmeur nog steeds het beste af is met Wordpress als ze iets zelf willen hosten. Drupal is te complex geworden na drupal 7 en het aantal handige modules drastisch afgenomen.

Dat gezegd hebbende, ik denk dat Drupal nog steeds qua CMS één van de beste keuzes is qua veiligheid en flexibiliteit tegenover lage kosten. Andere grote CMS'en die niet op basis van PHP zijn gebouwd zijn een stuk lastiger te beheren zonder systeem kennis en soms ook programmeer kennis.

Hoewel drupal zich tegenwoordig meer richt op de zakelijke wereld, hoop ik dat het wel blijft leven onder de opensource community, want er zijn geen betaalde modules, er zijn veel toegewijde developers die het niet voor het geld doen. Het module ecosysteem is een compleet andere wereld dan het Plugin systeem van Wordpress in mijn opinie.

[Jeroen hofman]

Ik heb druppal ooit eens geïnstalleerd,en vondt het vergeleken met wordpress, erg complex. wordpress is toch wel mijn favoriete CMS, misschien doordat ik hier jaren mee werk. heb me eigenlijk nooit verdiept in deze CMS distro's
Wat ik me afvraag is welk CMS wordt nu het meest gebruikt

[DefaultError]

Ik gebruik het in al zijn eenvoud met een kleine eenvoudige website. Draait heupwiegend vlug en is makkelijk te bedienen. In 5 minuten klaar.

Het nieuwe recept is nu nog beter!

[varkenshand]

Drupal is zeker niet meer gebruiksvriendelijk, laat staan 'eenvoudig genoeg voor de beginnende gebruiker'. Heb als amateur jarenlang tot tevredenheid gewerkt met Drupal 5, 6 en 7 maar bij de overgang naar 8 is het misgegaan. Daarom zit ik nog steeds op 7 en ik ben niet de enige

[Cartman!]

Drupal 8/9 is gewoon een moderne stack waar 7 gewoon spaghetti-code is. Dat het daarmee niet meer geschikt is voor de amateur die niet met moderne code wil werken is dan pech.

[Cartman!]

Als Drupal 9 spaghetti is, wat is WP dan wel niet?

Framework met CMS vergelijken is appels en peren natuurlijk