Drupal : injection de script (XSS) — corrigée en 11.4.10, 11.3.19, 10.6.19

1. Vérifier si vous êtes concerné

   Versions ou systèmes touchés :

   >= 8.9.0 < 10.6.19 || >= 11.0.0 < 11.3.19 || >= 11.4.0 < 11.4.10 || >= 12.0.0-alpha1 < 12.0.0-beta2

   drush status --field=drupal-version
   composer show drupal/core

2. Corriger

   Versions corrigées : 11.4.10, 11.3.19, 10.6.19.

   Mettre à jour le cœur ou le module concerné avec Composer, appliquer les mises à jour de base, vider les caches, sur chaque site.

   composer update "drupal/core-*" --with-all-dependencies
   composer update drupal/<module> --with-all-dependencies
   drush updatedb -y && drush cache:rebuild

3. En attendant le correctif

   Désactiver le module concerné (drush pm:uninstall <module>) si le correctif ne peut pas passer tout de suite, ou retirer la permission vulnérable aux rôles non administrateurs.

4. Contrôler

   drush status --field=drupal-version et composer show drupal/<module> doivent afficher la version corrigée.

   Rapport de statut Drupal (/admin/reports/status) sans alerte de sécurité.

Commandes indicatives (Debian ou Ubuntu) : à adapter à chaque serveur, après sauvegarde.

The Drupal core Link module provides a field type that can be used for internal and external URLs. The module does not sufficiently sanitize certain markup in some circumstances, which can lead to cross-site scripting (XSS) vulnerabilities. Solution : Install the latest version: Drupal 11 - If you use Drupal 11.4.x, update to Drupal 11.4.10 . - If you use Drupal 11.3.x, update to Drupal 11.3.19 . - Drupal 11.2.x and below are end-of-life and do not receive security coverage. Drupal 10 - If you use Drupal 10.6.x, update to Drupal 10.6.19 . - Drupal 10.5.x and below are end-of-life and do not receive security coverage. Drupal 8 and Drupal 9 have both reached end-of-life.