В обновлении системы управления web-контентом Drupal 8.1.10 устранено три уязвимости, две из которых отнесены к категории критически опасных проблем. Первая из опасных проблем позволяет атакующему сформировать специально оформленный URL, который при открытии в браузере жертвы приведёт к выполнению произвольного JavaScript-кода в контексте уязвимого сайта. Вторая проблема позволяет использовать маршрут system.temporary для загрузки полного файла конфигурации Drupal, не имея полномочий администратора и прав на экспорт конфигурации.
Ссылка: http://www.opennet.ru/opennews/art.shtml?num=45197