drupal/webform - SA-CONTRIB-2021-004
The Webform module for Drupal 8/9 includes a default Contact webform, which sends a notification email to the site owner and a confirmation email to the email address supplied via the form.
The confirmation email can be used as an open mail relay to send an email to any email address.
This vulnerability is mitigated by the fact that the site owner's email address is also receiving a notification email, which should alert the site owner to the exploitation. If the site owner's mailbox is not monitored, the open mail relay can be more easily exploited.
With the Webform module's latest release, the default Contact's confirmation email will only be sent to an authenticated user's email address. Anonymous users will no longer receive a confirmation email.
If anonymous users need to receive a confirmation email, we recommend you add SPAM protection to the form and update the email handler.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka Composer | drupal/webform | < 5.25.0, = 6.0.0, = 6.0.1 | 5.25.0 |
| Moduł Drupal | drupal/webform | < 5.25.0, = 6.0.0, = 6.0.1 | 5.25.0 |
Odnośniki
- Słabość (CWE)
-- Platforma
- Composer, Drupal
- Paczka
drupal/webform- Ujawniono
- 03.03.2021
- Aktualizacja
- 11.10.2026 13:17
Źródła i licencje
OSV / GitHub Advisory Database - DRUPAL-CONTRIB-2021-004 - CC BY-SA 2.0; code GPL-2.0-or-later
Historia podatności: drupal/webform
Wszystkie opisane podatności tej paczki (Moduł Drupal), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 31
- Pierwsza → ostatnia
- 05.2020 09.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Nieoceniona 31
Ujawnienia w latach
- 2020: 8
- 2021: 3
- 2022: 0
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 20
-
drupal/webform - SA-CONTRIB-2021-004 ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.