Platform
drupal
Component
webform
Opgelost in
9.2.18
9.3.12
CVE-2022-25273 is een input validatie kwetsbaarheid in de Form API van Drupal Core. Bepaalde modules kunnen gevoelig zijn voor onjuiste input validatie, waardoor een aanvaller ongeoorloofde waarden kan injecteren of data kan overschrijven. Dit kan leiden tot het wijzigen van kritieke of gevoelige data. De kwetsbaarheid treft Drupal Core versies tot en met 9.2.9. Het probleem is verholpen in Drupal versie 9.2.18.
CVE-2022-25273 in Drupal Core heeft betrekking op de Form API, waardoor aanvallers niet-toegestane waarden in formulieren van bijgedragen of aangepaste modules kunnen injecteren of gegevens kunnen overschrijven. Hoewel de getroffen formulieren ongebruikelijk zijn, kan een aanvaller in bepaalde gevallen kritieke of gevoelige gegevens wijzigen. Het risico vloeit voort uit onvoldoende invoervalidatie in sommige formulieren. Dit kan leiden tot manipulatie van de applicatielogica of blootlegging van vertrouwelijke informatie. De CVSS-severity score is 7,5, wat een hoog risico aangeeft. Het is cruciaal om bij te werken naar versie 9.2.18 om deze kwetsbaarheid te mitigeren. Het niet bijwerken kan websites kwetsbaar maken voor gerichte aanvallen die deze zwakte in de Form API uitbuiten. De aard van de Form API betekent dat de kwetsbaarheid een breed scala aan websitefunctionaliteiten kan beïnvloeden, afhankelijk van hoe formulieren worden gebruikt.
Een aanvaller kan deze kwetsbaarheid uitbuiten door kwaadaardige gegevens in een kwetsbaar formulier te injecteren via een HTTP-verzoek. Deze kwaadaardige gegevens kunnen worden gebruikt om bestaande gegevens te overschrijven, de applicatielogica te wijzigen of zelfs willekeurige code uit te voeren, afhankelijk van de websiteconfiguratie en de gebruikersrechten. Een succesvolle exploitatie van deze kwetsbaarheid kan leiden tot gegevensverlies, wijziging van de functionaliteit van de website of zelfs volledige controle over de server. De moeilijkheidsgraad van de exploitatie zal afhangen van de complexiteit van het formulier en de geïmplementeerde beveiligingsmaatregelen. Het is belangrijk om op te merken dat Drupal 7 niet door deze kwetsbaarheid wordt beïnvloed.
Exploit Status
EPSS
0.28% (52% percentiel)
CVSS-vector
De belangrijkste mitigatie voor CVE-2022-25273 is het bijwerken van Drupal Core naar versie 9.2.18 of hoger. Deze update bevat de nodige fixes om de invoervalidatie kwetsbaarheid in de Form API aan te pakken. Daarnaast wordt aanbevolen de bijgedragen en aangepaste modules te controleren die de Form API gebruiken om ervoor te zorgen dat ze een robuuste invoervalidatie implementeren. Regelmatige beveiligingsaudits kunnen helpen om potentiële kwetsbaarheden in formulieren te identificeren en te corrigeren. Het implementeren van strikte beveiligingsbeleid voor gegevensbeheer en toegangscontrole kan ook de potentiële impact van een succesvolle aanval verminderen. Het monitoren van serverlogs op verdachte activiteiten met betrekking tot formulier manipulatie is een aanbevolen praktijk om potentiële aanvallen te detecteren en erop te reageren.
Actualice el módulo Webform a la versión 9.2.18 o superior, o a la versión 9.3.12 o superior de Drupal Core. Esta actualización corrige una vulnerabilidad de inyección de valores no permitidos debido a una validación de entrada inadecuada en ciertos formularios, lo que podría permitir a un atacante alterar datos críticos.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
De Form API van Drupal is een systeem waarmee ontwikkelaars webformulieren binnen een Drupal-site kunnen maken en beheren.
Versie 9.2.18 bevat de nodige fixes om CVE-2022-25273 te mitigeren en uw website te beschermen tegen potentiële aanvallen.
Als u een Drupal-versie gebruikt vóór 9.2.18, is de kans groot dat u kwetsbaar bent. Voer een beveiligingsaudit uit om dit te bevestigen.
Controleer de code van uw aangepaste modules die de Form API gebruiken om ervoor te zorgen dat ze een goede invoervalidatie implementeren.
Nee, Drupal 7 wordt niet door deze kwetsbaarheid getroffen.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je composer.lock-bestand en we vertellen je direct of je getroffen bent.