Drupal core Bypass de acesso

A vulnerabilidade CVE-2024-55634 no Drupal Core afeta a verificação de unicidade de certos campos de usuário. A inconsistência nesta verificação, dependendo do motor de banco de dados e sua collation, permite que um usuário se registre com o mesmo endereço de e-mail que outro usuário existente. Isso compromete a integridade dos dados, podendo levar a confusão de identidade de usuários, problemas de acesso e conflitos potenciais na gestão de contas. A vulnerabilidade afeta as versões do Drupal Core desde a 8.0.0 até a 10.2.10, a 10.3.0 até a 10.3.8 e a 11.0.0 até a 11.0.7. A severidade desta vulnerabilidade é moderada, pois, embora não permita a execução remota de código, compromete a integridade dos dados e pode ter implicações significativas para a segurança da plataforma.

Organizations and individuals using Drupal Core versions 8.0.0 through 9.5.9 are at risk. This includes websites and applications built on Drupal that rely on accurate user data and email communication. Sites with custom user registration modules or integrations should also be carefully reviewed to ensure they do not exacerbate the vulnerability.

• drupal: Check Drupal Core version using drush --version.

drush --version

• drupal: Review Drupal logs (sites/[site]/logs/drupal.log) for unusual registration patterns or errors related to email uniqueness. • generic web: Monitor user registration endpoints for suspicious activity using web application firewalls (WAFs) or intrusion detection systems (IDS).

1. 2024-12-10Disclosure

   disclosure

1. Reservado2024-12-09
2. Publicada2024-12-10
3. Modificada2025-12-10
4. EPSS atualizado2026-04-02

A solução para esta vulnerabilidade é atualizar o Drupal Core para a versão 10.2.11, 10.3.9 ou 11.0.8, dependendo da versão que você está utilizando. Essas versões incluem uma correção que garante uma verificação de unicidade consistente em todos os motores de banco de dados e collations compatíveis. Recomenda-se realizar esta atualização o mais rápido possível para mitigar o risco de exploração. Além disso, revise os logs do banco de dados para identificar possíveis registros duplicados e corrigi-los manualmente, se necessário. Para sites que utilizam módulos personalizados que interagem com os campos de usuário, é importante verificar se eles também são compatíveis com a correção e atualizá-los, se necessário. A atualização deve ser realizada seguindo as melhores práticas de atualização do Drupal, incluindo a realização de backups e testes em um ambiente de desenvolvimento antes de aplicar a atualização em produção.