プラットフォーム
drupal
コンポーネント
drupal
修正版
10.4.9
10.5.6
11.1.9
11.2.8
10.4.9
10.4.9
10.4.9
10.4.9
CVE-2025-13080 は、Drupal コアにおいて、予期しない状況や例外的な状況のチェックが不十分であるために発生する脆弱性です。この脆弱性を悪用されると、攻撃者は Forceful Browsing を実行し、機密情報にアクセスする可能性があります。影響を受けるバージョンは、Drupal 8.0.0 以前の 10.4.9、10.5.0 以前の 10.5.6、11.0.0 以前の 11.1.9、11.2.0 以前の 11.2.8 です。10.4.9 以降のバージョンで修正されています。
Drupal core の CVE-2025-13080 は、10.4.9、10.5.6、11.1.9、11.2.8 以前のバージョンに影響を与え、「Forceful Browsing」攻撃を可能にします。これは、異常または例外的な条件の不適切なチェックが原因です。攻撃者は、本来アクセスできないはずのページやリソースにアクセスし、機密情報を漏洩させる可能性があります。機密データを扱うウェブサイトや、厳格なアクセス制御が必要なウェブサイトでは、リスクは大きくなります。この脆弱性は、Drupal がナビゲーションリクエストを処理する方法に関連しており、攻撃者が実装されているアクセス制限を回避できる可能性があります。影響の重大度は、特定の Drupal サイトの設定と、不正アクセスによってアクセスできるデータによって異なります。このリスクを軽減するために、Drupal が提供するセキュリティアップデートを適用することを強くお勧めします。
攻撃者は、ウェブサイトの URL を操作して、保護されたページやリソースにアクセスすることで、この脆弱性を悪用する可能性があります。これには、URL に予期しないパラメータやルートを追加することが含まれる場合があります。悪用の成功は、Drupal サイトの設定と、これらの操作されたルートを通じてアクセス可能な機密リソースの有無に依存します。この脆弱性は、ユーザー入力の適切な検証がないことに基づいており、攻撃者がアクセス制限を回避できる可能性があります。この脆弱性を悪用するには、Drupal とその内部構造に関する一定の技術的な知識が必要となる可能性があることに注意してください。
エクスプロイト状況
EPSS
0.10% (28% パーセンタイル)
CVE-2025-13080 の修正策は、Drupal core を 10.4.9 以降、10.5.6 以降、11.1.9 以降、または 11.2.8 以降のバージョンにアップデートすることです。これらのアップデートは、「Forceful Browsing」を可能にする不適切なチェックを修正します。アップデートを適用する前に、必ずウェブサイト全体の完全なバックアップを作成してください。アップデート後、すべてのウェブサイトの機能が正常に動作していることを確認するために、徹底的なテストを実施してください。さらに、ユーザーがアクセスする必要のあるリソースのみにアクセスできるように、権限とアクセス設定を確認してください。アップデート後、サーバーログを監視して、不審なアクティビティがないか確認してください。これらの軽減策を適時に適用することが、Drupal サイトを潜在的な攻撃から保護するために不可欠です。
Actualice Drupal core a la última versión disponible. Para las versiones 10.x, actualice a la versión 10.4.9 o superior. Para las versiones 10.5.x, actualice a la versión 10.5.6 o superior. Para las versiones 11.0.x, actualice a la versión 11.1.9 o superior. Para las versiones 11.2.x, actualice a la versión 11.2.8 o superior.
脆弱性分析と重要アラートをメールでお届けします。
これは、攻撃者が URL を操作して、許可されていないページやリソースにアクセスしようとする攻撃です。
8.0.0 以前 (10.4.9 まで)、10.5.0 (10.5.6 まで)、11.0.0 (11.1.9 まで)、11.2.0 (11.2.8 まで) の Drupal core バージョン。
使用している Drupal のバージョンを確認し、リストされている脆弱なバージョンと比較してください。さまざまな URL でナビゲーションテストを実行して、潜在的な不正アクセスを特定します。
権限設定を強化したり、サーバーログを監視したりするなど、追加のセキュリティ対策を実装してください。
Drupal セキュリティページを参照してください: https://www.drupal.org/security
composer.lock ファイルをアップロードすると、影響の有無を即座にお知らせします。