El equipo de seguridad de Drupal acaba de lanzar una alerta crítica de seguridad sobre el módulo contribuido Create User Permission.
El módulo contribuido Create user permission de Drupal nos permite otorgar el permiso para crear usuarios a usuarios que no tienen en rol de administrador. Se ha detectado que el módulo no respeta la configuración "¿Quién puede crear cuentas?" cuando seleccionamos "Visitantes, pero es necesaria la aprobación de los administradores", permitiendo que usuarios se registren sin la necesidad de la aprobación de los administradores.
La vulnerabilidad se ve mitigada por el hecho de que otras configuraciones paralelas pueden suplir el problema, como son requerir email de verificación para las nuevas cuentas o permitir que sólo los administradores puedan registrarlas.
Para solucionar este problema crítico de seguridad se ha publicado la actualización Create user permission 8.x-1.2. Podemos encontrar toda la información sobre esta brecha de seguridad en el espacio web del Equipo de Seguridad de Drupal.
Create user permission - Critical - Access bypass - SA-CONTRIB-2019-066 https://t.co/eeQvqhpgbb
— Drupal Security (@drupalsecurity) September 18, 2019