Platform
drupal
Component
drupal
Opgelost in
1.0.3
1.0.4
CVE-2025-13982 beschrijft een Cross-Site Request Forgery (CSRF) kwetsbaarheid in de Drupal Login Time Restriction module. Deze kwetsbaarheid stelt aanvallers in staat om ongeautoriseerde acties uit te voeren namens een geauthenticeerde gebruiker. De kwetsbaarheid treft versies van de module tot en met 1.0.3. Een upgrade naar versie 1.0.3 of hoger is vereist om de kwetsbaarheid te verhelpen.
Een succesvolle CSRF-aanval kan leiden tot ongeautoriseerde wijzigingen in de configuratie van de Drupal Login Time Restriction module, of zelfs tot het uitvoeren van acties namens een beheerder. Dit kan resulteren in ongeautoriseerde toegang tot het Drupal-systeem, data-inbreuk en compromittering van de integriteit van de applicatie. De impact is aanzienlijk, aangezien een aanvaller de module kan misbruiken om de beveiliging van de website te omzeilen.
Op dit moment (2026-01-28) zijn er geen publieke proof-of-concept exploits bekend voor CVE-2025-13982. De kwetsbaarheid is recentelijk gepubliceerd en de kans op actieve exploitatie is momenteel laag, maar niet uitgesloten. De CISA KEV-status is nog niet bekend. Er is geen bewijs van actieve campagnes gericht op deze specifieke kwetsbaarheid.
Drupal sites utilizing the Login Time Restriction module, particularly those with sensitive data or critical functionality, are at risk. Sites running older, unpatched versions of Drupal are especially vulnerable. Shared hosting environments where users have limited control over installed modules also face increased risk.
• drupal: Check the version of the Login Time Restriction module using drush pm-info logintimerestriction. If the version is less than 1.0.3, the system is vulnerable.
• generic web: Monitor Drupal site logs for suspicious POST requests originating from different IP addresses than the authenticated user's. Use a WAF to block requests without valid CSRF tokens.
disclosure
Exploit Status
EPSS
0.02% (5% percentiel)
CVSS-vector
De primaire mitigatie voor CVE-2025-13982 is het upgraden van de Drupal Login Time Restriction module naar versie 1.0.3 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van CSRF-tokens op alle kritieke formulieren binnen de module. Daarnaast kan het instellen van strenge toegangscontroles en het regelmatig controleren van de moduleconfiguratie helpen om het risico te verminderen. Na de upgrade, controleer de moduleconfiguratie om er zeker van te zijn dat deze correct is ingesteld.
Werk de Login Time Restriction module bij naar versie 1.0.3 of hoger. Deze versie corrigeert de CSRF kwetsbaarheid. U kunt bijwerken via de Drupal administratie-interface of door de nieuwe versie te downloaden van Drupal.org en de modulebestanden te vervangen.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2025-13982 is a Cross-Site Request Forgery (CSRF) vulnerability affecting the Drupal Login Time Restriction module, allowing attackers to perform unauthorized actions.
You are affected if you are using Drupal Login Time Restriction version 1.0.3 or earlier. Upgrade to 1.0.3 to mitigate the risk.
Upgrade the Drupal Login Time Restriction module to version 1.0.3 or later. Implement CSRF token protection as a temporary workaround.
There is currently no evidence of active exploitation, but the vulnerability's nature suggests potential for future attacks.
Refer to the Drupal security advisory page for the latest information and updates regarding CVE-2025-13982.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je composer.lock-bestand en we vertellen je direct of je getroffen bent.