ड्रूपल कोर आर्बिट्रेरी PHP कोड निष्पादन

Drupal Core में CVE-2022-25277 फ़ाइल अपलोड के दौरान फ़ाइल नामों को साफ़ करने के तरीके को प्रभावित करता है। Drupal ने पहले से ही खतरनाक एक्सटेंशन (जैसे .htaccess) वाली फ़ाइलों को अपलोड करने से रोकने और फ़ाइल नामों से शुरुआती और अंतिम बिंदुओं को हटाने के उपाय लागू किए थे, लेकिन ये सुरक्षा उपाय सही ढंग से काम नहीं कर रहे थे। उन कॉन्फ़िगरेशन में जहां .htaccess एक्सटेंशन की अनुमति थी, फ़ाइल नाम साफ़ करने में विफलता होगी, जिससे दुर्भावनापूर्ण सर्वर कॉन्फ़िगरेशन फ़ाइलों को अपलोड करने की संभावना हो सकती है। इससे रिमोट कोड निष्पादन हो सकता है, जिससे वेबसाइट की सुरक्षा खतरे में पड़ सकती है।

1. आरक्षित2022-02-16
2. प्रकाशित2023-04-26
3. संशोधित2025-02-03
4. EPSS अद्यतन2026-04-02

इस भेद्यता का समाधान Drupal Core को संस्करण 9.3.19 या उच्चतर में अपडेट करना है। यह अपडेट फ़ाइल नाम साफ़ करने की सुरक्षा उपायों के बीच गलत बातचीत को ठीक करता है। जोखिम को कम करने के लिए, इस अपडेट को जल्द से जल्द लागू करना महत्वपूर्ण है। इसके अतिरिक्त, अपनी वेबसाइट के कॉन्फ़िगरेशन की जांच करें ताकि यह सुनिश्चित हो सके कि केवल आवश्यक फ़ाइल एक्सटेंशन की अनुमति है और फ़ाइल अपलोड के लिए सख्त सुरक्षा नीतियां लागू हैं। किसी घटना की स्थिति में पुनर्प्राप्ति के लिए नियमित वेबसाइट बैकअप भी एक अच्छी प्रथा है।