Drupal : contournement des contrôles d'accès — corrigée en 3.1.0, 2.1.2

1. Vérifier si vous êtes concerné

   Versions ou systèmes touchés :

   <2.1.2 || >=3.0.1 <3.1.0

   drush status --field=drupal-version
   composer show drupal/core

2. Corriger

   Versions corrigées : 3.1.0, 2.1.2.

   Mettre à jour le cœur ou le module concerné avec Composer, appliquer les mises à jour de base, vider les caches, sur chaque site.

   composer update "drupal/core-*" --with-all-dependencies
   composer update drupal/<module> --with-all-dependencies
   drush updatedb -y && drush cache:rebuild

3. En attendant le correctif

   Désactiver le module concerné (drush pm:uninstall <module>) si le correctif ne peut pas passer tout de suite, ou retirer la permission vulnérable aux rôles non administrateurs.

4. Contrôler

   drush status --field=drupal-version et composer show drupal/<module> doivent afficher la version corrigée.

   Rapport de statut Drupal (/admin/reports/status) sans alerte de sécurité.

Commandes indicatives (Debian ou Ubuntu) : à adapter à chaque serveur, après sauvegarde.

Swiper is mobile first, layout and gestures wise, it provides great amount of options for designing your own widget and related events. This module provides a route for displaying published content entities in a dialog. The route does not sufficiently verify the current user's access to the specific entity. This vulnerability is mitigated by the fact that only rendered output is returned, and field-level access controls are still enforced. Solution : Install the latest version: - If you use the Swiper formatter module 3.x, upgrade to Swiper formatter 3.1.0 - If you use the Swiper formatter module 2.x, upgrade to Swiper formatter 2.1.2