SQL injection в Друпале.

[qkowlew]

Кратко:
В друпале 7.31 обнаружен баг, который позволяет злоумышленнику, сформировав один http запрос, получить любую часть содержимого базы и выполнить произвольный PHP код, причём до процедуры авторизации на сайте.

Природа ошибки - в неправильно работающей функции заполнения данными элементов SQL запроса в его заготовке:

SELECT * FROM {users} WHERE name IN (:name_0, :name_1)

Конкретно - функция, которая превращает :name в :name_0, :name_1.
Эта функция некорректно работает с массивом, превращая его в :name_$key0, :name_$key1. Если атакующий контролирует содержимое $key0 и $key1 - то в результате, например, будет сформирован запрос

SELECT * FROM {users} WHERE name IN (:name_test) OR name = 'Admin' -- , :name_test)

тут подробно