Drupal core に、誤って設定されたアクセス制御セキュリティレベルを悪用される脆弱性があります

Drupal coreのCVE-2025-13083は、アクセス制御セキュリティレベルの管理方法と、ウェブブラウザキャッシュの使用に影響を与えます。攻撃者は、誤った構成のアクセス制御を悪用して、ブラウザキャッシュに保存されている機密情報にアクセスする可能性があります。キャッシュに機密データが含まれている場合、これは特に懸念される問題です。なぜなら、そのようなデータが許可されていないユーザーに公開される可能性があるからです。この脆弱性は、Drupal coreの8.0.0から10.4.8、10.5.0から10.5.5、11.0.0から11.1.8、11.2.0から11.2.7、および7.0から7.102までのバージョンに影響を与えます。この脆弱性の重大度は、機密データの漏洩の可能性と、アクセス構成が正しく実装されていない場合に、比較的簡単に悪用される可能性があることにあります。

Organizations and individuals using Drupal Core for websites or applications that handle sensitive data, particularly those running versions prior to 10.4.9. Sites with complex access control configurations or those relying heavily on browser caching are at higher risk.

• drupal: Check Drupal core version using drush --version. • drupal: Review access control configurations for any inconsistencies or overly permissive settings. • generic web: Monitor web server access logs for unusual requests targeting cached resources. • generic web: Use browser developer tools to inspect cached resources and verify that sensitive data is not exposed.

1. 2025-11-18Disclosure

   disclosure

1. 予約済み2025-11-12
2. 公開日2025-11-18
3. 更新日2026-02-03
4. EPSS 更新日2026-03-23

CVE-2025-13083を軽減するための解決策は、Drupalをパッチが適用されたバージョンに更新することです。具体的には、バージョン10.4.9以降、10.5.6以降、11.1.9以降、11.2.8以降、または7.103以降に更新することをお勧めします。更新に加えて、Drupal内の機密リソースへのアクセス構成をレビューおよび強化することをお勧めします。これには、アクセス制御が正しく定義され、許可されたユーザーのみが機密情報にアクセスできるようにすることを含みます。機密情報がブラウザキャッシュに長期間保存されないように、適切なキャッシュポリシーを実装することが不可欠です。最後に、定期的なセキュリティ監査は、潜在的な誤った構成を特定し、修正するのに役立ちます。