CVE-2026-4393: CSRF in Drupal Automated Logout

L'exploitation réussie de cette vulnérabilité CSRF peut permettre à un attaquant de modifier les paramètres de configuration du module Automated Logout, de supprimer des utilisateurs, ou d'effectuer d'autres actions sensibles au nom de l'utilisateur concerné. L'impact est d'autant plus important si l'utilisateur possède des privilèges d'administration. Un attaquant pourrait, par exemple, modifier la durée de la déconnexion automatique, compromettant ainsi la sécurité des sessions. Bien qu'il n'y ait pas de cas d'exploitation publique connus à ce jour, la nature de la vulnérabilité CSRF la rend potentiellement exploitable dans des attaques ciblées.

Websites using Drupal with the Automated Logout module installed, particularly those running vulnerable versions (2.0.0–8.x-1.7). Sites with less stringent access controls to the Automated Logout configuration are at higher risk.

• drupal / module: Check Drupal module versions for Automated Logout.

  drush pm-info --title --core --modules --themes --profiles | grep Automated Logout

• drupal / configuration: Review Automated Logout configuration settings for unexpected changes. • generic web: Monitor access logs for suspicious requests targeting Automated Logout endpoints.

1. 2026-03-26Disclosure

   disclosure

1. Réservé2026-03-18
2. Publiée2026-03-26
3. Modifiée2026-04-01
4. EPSS mis à jour2026-04-03

La mitigation principale consiste à mettre à jour Drupal Automated Logout vers la version 2.0.2 ou supérieure. Si la mise à jour n'est pas immédiatement possible, il est recommandé de désactiver temporairement le module Automated Logout. En attendant la mise à jour, il est possible de mettre en place des protections CSRF au niveau de l'application, telles que l'utilisation de tokens CSRF pour valider les requêtes. Vérifiez après la mise à jour que le module est correctement mis à jour et qu'il n'y a pas de conflits avec d'autres modules.