Plateforme
drupal
Composant
drupal
Corrigé dans
9.3.19
9.4.3
CVE-2022-25278 est une vulnérabilité dans Drupal Core qui permet une évaluation incorrecte de l'accès aux éléments de formulaire. Cela peut permettre à un utilisateur de modifier des données auxquelles il ne devrait pas avoir accès, compromettant ainsi l'intégrité des données. Les versions de Drupal Core inférieures ou égales à 9.3.9 sont affectées. La vulnérabilité est corrigée dans la version 9.3.19.
La vulnérabilité CVE-2022-25278 dans Drupal Core affecte la manière dont l'API de formulaires évalue l'accès aux éléments de formulaire. Plus précisément, le système ne valide pas correctement les permissions requises pour modifier certains champs, ce qui pourrait permettre à un utilisateur disposant de privilèges insuffisants de modifier des données auxquelles il ne devrait pas avoir accès. Cela pourrait se traduire par la modification des configurations du site, la manipulation de contenu sensible ou même l'altération des données des utilisateurs. L'impact varie en fonction de la configuration du site et des permissions des utilisateurs, mais dans le pire des cas, cela pourrait compromettre l'intégrité et la sécurité des informations stockées sur le site Drupal. La sévérité CVSS est de 6,5, ce qui indique un risque modéré. Il est crucial de mettre à jour Drupal vers la version 9.3.19 ou ultérieure pour atténuer ce risque.
La vulnérabilité est exploitée par la manipulation des données soumises via les formulaires Drupal. Un attaquant pourrait créer un formulaire malveillant ou modifier les données d'un formulaire existant pour contourner les permissions nécessaires pour modifier certains champs. Le succès de l'exploitation dépend de la configuration du site et des permissions des utilisateurs. Un attaquant doté de compétences techniques pourrait exploiter cette vulnérabilité pour obtenir un accès non autorisé à des données sensibles ou pour modifier la configuration du site. Le manque de validation adéquate de l'accès aux éléments de formulaire permet à un utilisateur disposant de privilèges insuffisants de contourner les restrictions de sécurité et d'effectuer des actions qu'il ne devrait pas être en mesure d'effectuer.
Statut de l'Exploit
EPSS
0.45% (percentile 64%)
Vecteur CVSS
La solution principale pour résoudre CVE-2022-25278 consiste à mettre à jour Drupal Core vers la version 9.3.19 ou ultérieure. Cette mise à jour inclut les correctifs nécessaires pour valider correctement l'accès aux éléments de formulaire. De plus, il est recommandé de revoir les permissions des utilisateurs et les rôles sur le site Drupal afin de s'assurer que les utilisateurs n'ont accès qu'aux fonctionnalités et aux données dont ils ont besoin. Des audits de sécurité réguliers peuvent aider à identifier et à corriger les configurations incorrectes potentielles qui pourraient augmenter le risque d'exploitation. Si une mise à jour immédiate n'est pas possible, envisagez de mettre en œuvre des mesures de sécurité supplémentaires, telles que la restriction de l'accès à certaines zones du site et la surveillance de l'activité des utilisateurs à la recherche de comportements suspects.
Actualice el núcleo de Drupal a la versión 9.4.3 o posterior, o a la versión 9.3.19 o posterior para mitigar la vulnerabilidad. Esta actualización corrige un error en la forma en que la API de formulario del núcleo de Drupal evalúa el acceso al elemento del formulario, lo que podría permitir a un usuario modificar datos a los que no debería tener acceso.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Les versions de Drupal Core antérieures à 9.3.19 sont vulnérables à CVE-2022-25278.
Vous pouvez vérifier la version de Drupal sur la page d'administration du site, dans la section 'Informations sur le site'.
Si vous ne pouvez pas mettre à jour immédiatement, envisagez de restreindre l'accès aux zones sensibles du site et de surveiller l'activité des utilisateurs.
Il existe des scanners de sécurité Drupal qui peuvent vous aider à identifier cette et d'autres vulnérabilités.
Vous pouvez trouver plus d'informations sur le site Web de Drupal et dans les bases de données de vulnérabilités telles que le National Vulnerability Database (NVD).
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier composer.lock et nous te dirons instantanément si tu es affecté.