Обнаружена очередная уязвимость в Drupal 7

Вслед за уязвимостью в XML-RPC, недавно была найдена уязвимость в ядре Drupal 7, которой подвержены все версии от 7.0 до 7.31. Она позволяет выполнить произвольный SQL-запрос в БД Drupal. Опасность определена как очень высокая. 15 октября вышло обновление ядра до версии 7.32, которое устраняет эту уязвимость. Разработчики настоятельно советуют обновить ядро немедленно. Обновление не займёт много времени, необходимо обновить только файл /includes/database/database.inc. Уязвимость находилась в функции обработки значений для SQL-запроса. При обработке массива для SQL-функции IN предполагается, что это не ассоциативный массив, ключи участвуют в формировании имени placeholder-а. Если в функцию передать ассоциативный массив со специально сформированными ключами, то можно вмешаться в SQL-запрос. Использование этой уязвимости, как мне кажется, не так просто. В опубликованном по ссылке выше материале говорится, что доказательство возможности использования было написано, но разработчики Drupal попросили не публиковать его. Вероятнее всего использование ограничивается ситуацией, когда данные пришедшие от пользователя без фильтрации передаются в запрос. С другой стороны, разработчики Drupal присвоили этой уязвимости очень высокий риск.