El gestor de contenidos de código abierto (CMS) Drupal ha liberado parches de seguridad para corregir vulnerabilidades críticas que afectan a Drupal 6 y 7.

Las versiones de Drupal anteriores a la 6.37 y 7.39 contienen 3 vulnerabilidades, incluyendo un fallo Cross-Site Scripting en el sistema de autocompletar, un fallo Cross-Site Request Forgery en el Form API y un fallo que divulga información en el sistema de acceso.

La vulnerabilidad Cross-Site Request Forgery ubicada en el Form API "puede permitir a los usuarios maliciosos subir archivos al sitio con la cuenta de otro usuario", indica el aviso.

Las versiones vulnerables de Drupal 7 están afectadas por 2 fallos adicionales, incluyendo uno de Cross-Site Scripting en el sistema Ajax y una vulnerabilidad de inyección SQL en el Database API.  

La vulnerabilidad de inyección SQL puede permitir que "un usuario con privilegios elevados inyecte código malicioso en los comentarios SQL", indica el aviso.