Drupal : injection de script (XSS) — corrigée en 2.0.2, 1.1.3

1. Vérifier si vous êtes concerné

   Versions ou systèmes touchés :

   <1.1.3 || >=2.0.0 <2.0.2

   drush status --field=drupal-version
   composer show drupal/core

2. Corriger

   Versions corrigées : 2.0.2, 1.1.3.

   Mettre à jour le cœur ou le module concerné avec Composer, appliquer les mises à jour de base, vider les caches, sur chaque site.

   composer update "drupal/core-*" --with-all-dependencies
   composer update drupal/<module> --with-all-dependencies
   drush updatedb -y && drush cache:rebuild

3. En attendant le correctif

   Désactiver le module concerné (drush pm:uninstall <module>) si le correctif ne peut pas passer tout de suite, ou retirer la permission vulnérable aux rôles non administrateurs.

4. Contrôler

   drush status --field=drupal-version et composer show drupal/<module> doivent afficher la version corrigée.

   Rapport de statut Drupal (/admin/reports/status) sans alerte de sécurité.

Commandes indicatives (Debian ou Ubuntu) : à adapter à chaque serveur, après sauvegarde.

This module provides a user interface to select and configure icons, including a CKEditor 5 button and widget that embed an icon in formatted text. Under uncommon situations, the CKEditor 5 widget displays admin-controlled text with appropriate filtering leading to a Cross-site scripting (XSS) vulnerability. This vulnerability is mitigated by the fact that an attacker must have access to edit content with a text format that allows the UI Icons CKEditor 5 button. Solution : Install the latest version: - If you use the UI Icons 2.0.x module, upgrade to UI Icons 2.0.2 - If you use the UI Icons 1.1.x module, upgrade to UI Icons 1.1.3 UI Icons 1.0.x is not supported. Sites using it should upgrade to UI Icons 1.1.3 or 2.0.2.