ड्रुपल कोर में एक्सेस बाईपास

Drupal Core में CVE-2022-25278 फॉर्म API द्वारा फॉर्म तत्वों तक पहुंच का मूल्यांकन करने के तरीके को प्रभावित करता है। विशेष रूप से, सिस्टम कुछ क्षेत्रों को संशोधित करने के लिए आवश्यक अनुमतियों को सही ढंग से मान्य नहीं करता है, जिससे अपर्याप्त विशेषाधिकार वाले उपयोगकर्ता उन डेटा को संशोधित कर सकते हैं जिन तक उन्हें पहुंच नहीं होनी चाहिए। यह वेबसाइट कॉन्फ़िगरेशन को संशोधित करने, संवेदनशील सामग्री में हेरफेर करने या यहां तक ​​कि उपयोगकर्ता डेटा को संशोधित करने के रूप में प्रकट हो सकता है। प्रभाव वेबसाइट कॉन्फ़िगरेशन और उपयोगकर्ता अनुमतियों पर निर्भर करता है, लेकिन सबसे खराब स्थिति में, यह साइट पर संग्रहीत जानकारी की अखंडता और सुरक्षा को खतरे में डाल सकता है। CVSS गंभीरता 6.5 है, जो एक मध्यम जोखिम का संकेत देती है। इस जोखिम को कम करने के लिए Drupal को संस्करण 9.3.19 या बाद के संस्करण में अपडेट करना महत्वपूर्ण है।

1. आरक्षित2022-02-16
2. प्रकाशित2023-04-26
3. संशोधित2025-02-03
4. EPSS अद्यतन2026-04-02

CVE-2022-25278 को संबोधित करने का मुख्य समाधान Drupal Core को संस्करण 9.3.19 या बाद के संस्करण में अपडेट करना है। इस अपडेट में फॉर्म तत्वों तक पहुंच को सही ढंग से मान्य करने के लिए आवश्यक फिक्स शामिल हैं। इसके अतिरिक्त, Drupal साइट पर उपयोगकर्ता अनुमतियों और भूमिकाओं की समीक्षा करने की सिफारिश की जाती है ताकि यह सुनिश्चित किया जा सके कि उपयोगकर्ताओं के पास केवल उन कार्यात्मकताओं और डेटा तक पहुंच हो जिनकी उन्हें आवश्यकता है। नियमित सुरक्षा ऑडिट संभावित गलत कॉन्फ़िगरेशन की पहचान करने और उन्हें ठीक करने में मदद कर सकते हैं जो शोषण के जोखिम को बढ़ा सकते हैं। यदि तत्काल अपडेट संभव नहीं है, तो अतिरिक्त सुरक्षा उपायों पर विचार करें, जैसे कि साइट के कुछ क्षेत्रों तक पहुंच को प्रतिबंधित करना और संदिग्ध व्यवहार के लिए उपयोगकर्ता गतिविधि की निगरानी करना।