CVE:CVE-2010-3685
CNNVD:CNNVD-201009-289
Drupal是Drupal社区所维护的一套用PHP语言开发的免费、开源的内容管理系统。
Drupal中的Drupal 6.18之前的6.x版本和OpenID模块5.x-1.4之前的5.x版本中的OpenID模块由于没有检查openid.response_nonce值的重用违反了OpenID 2.0协议，远程攻击者可以利用OpenID供应商提供的断言绕过认证。
solution:Upgrade drupal drupal to a higher version than 6.0,6.0:beta1,6.0:beta2,6.0:beta3,6.0:beta4,6.0:dev,6.0:rc1,6.0:rc2,6.0:rc3,6.0:rc4,6.1,6.2,6.3,6.4,6.5,6.6,6.7,6.8,6.9,6.10,6.11,6.12,6.13,6.14,6.15,6.16,6.17,and avoid the version 6.0,6.0:beta1,6.0:beta2,6.0:beta3,6.0:beta4,6.0:dev,6.0:rc1,6.0:rc2,6.0:rc3,6.0:rc4,6.1,6.2,6.3,6.4,6.5,6.6,6.7,6.8,6.9,6.10,6.11,6.12,6.13,6.14,6.15,6.16,6.17; Upgrade peter_wolanin openid to a higher version than 5.x-1.0,5.x-1.1,5.x-1.2,5.x-1.3,5.x-1.x:dev,and avoid the version 5.x-1.0,5.x-1.1,5.x-1.2,5.x-1.3,5.x-1.x:dev