Plataforma
drupal
Componente
drupal
Corrigido em
9.3.13
10.0.2
11.0.1
9.3.14
A vulnerabilidade CVE-2025-14840 é classificada como uma falha na verificação de condições excepcionais no HTTP Client Manager do Drupal Core, permitindo ataques de 'Forceful Browsing'. Essa falha pode levar a um acesso não autorizado a recursos e dados sensíveis. As versões afetadas incluem o Drupal Core de 10.0.0 até 10.0.2 e versões anteriores a 11.0.1. Uma correção de segurança foi lançada para as versões 10.0.2 e 11.0.1.
A vulnerabilidade CVE-2025-14840 no Gerenciador de Clientes HTTP do Drupal permite um ataque de 'Navegação Forçada'. Isso se deve a uma verificação inadequada de condições incomuns ou excepcionais nas solicitações HTTP. Um atacante pode explorar essa falha para navegar por recursos internos que normalmente não seriam acessíveis externamente, expondo potencialmente informações confidenciais ou realizando ações não autorizadas. A severidade do CVSS é 7.5, indicando um risco alto. Essa vulnerabilidade afeta versões específicas do módulo Gerenciador de Clientes HTTP: de 0.0.0 antes da versão 9.3.13, de 10.0.0 antes da versão 10.0.2 e de 11.0.0 antes da versão 11.0.1. É crucial atualizar para as versões corrigidas para mitigar esse risco.
Um atacante pode explorar essa vulnerabilidade enviando solicitações HTTP cuidadosamente elaboradas para o Gerenciador de Clientes HTTP do Drupal. A falta de uma validação adequada das condições incomuns permite que o atacante manipule o comportamento do cliente HTTP e force o acesso a recursos que não deveriam ser expostos. Isso pode envolver o uso de técnicas como a manipulação de cabeçalhos HTTP ou a injeção de URLs maliciosas. O sucesso da exploração depende da configuração do site Drupal e da presença de recursos internos vulneráveis. A ausência de uma correção imediata significa que os sites que não são atualizados são suscetíveis a esse tipo de ataque.
Organizations and individuals using Drupal Core versions 10.0.0–10.0.2 and 11.0.0 are at risk. This includes websites, applications, and services built on Drupal that rely on the HTTP Client Manager for external communication. Shared hosting environments utilizing these vulnerable Drupal versions are particularly susceptible.
• drupal: Check Drupal core version using drush --version. If the version is within the affected range (10.0.0–10.0.2 or 11.0.0), investigate further.
• drupal: Examine Drupal logs (sites/[site]/logs/drupal.log) for unusual HTTP requests or redirects.
• generic web: Use curl to test for potential URL redirection vulnerabilities. For example: curl -v https://[yourdrupalsite]/path/to/vulnerable/endpoint and examine the response headers.
• generic web: Review access logs for suspicious patterns of requests to internal or unexpected URLs.
disclosure
Status do Exploit
EPSS
0.06% (percentil 19%)
Vetor CVSS
A solução para CVE-2025-14840 é atualizar o módulo Gerenciador de Clientes HTTP para uma versão corrigida. Especificamente, atualize para a versão 9.3.13 ou superior, 10.0.2 ou superior ou 11.0.1 ou superior, dependendo da versão do Drupal que você está usando. O Drupal lançou essas atualizações para resolver a vulnerabilidade. Recomenda-se realizar a atualização em um ambiente de teste antes de aplicá-la à produção. Além disso, revise as configurações de segurança do seu site Drupal para garantir que as melhores práticas sejam seguidas, como limitar o acesso a recursos confidenciais e usar senhas fortes. Embora não haja uma solução alternativa imediata, a atualização é a forma mais eficaz de proteger seu site.
Actualice el módulo HTTP Client Manager a la versión 9.3.13 o superior, 10.0.2 o superior, o 11.0.1 o superior. Esto corregirá la vulnerabilidad de comprobación incorrecta de condiciones inusuales o excepcionales que permite la navegación forzada.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
É um ataque em que um atacante manipula as solicitações HTTP para acessar recursos que normalmente não estariam disponíveis.
Pode permitir que um atacante acesse informações confidenciais ou realize ações não autorizadas.
Embora não seja uma solução, revise suas configurações de segurança e limite o acesso a recursos confidenciais.
No site do Drupal e no repositório de módulos do Drupal.
Sim, existem scanners de vulnerabilidade que podem identificar essa vulnerabilidade em seu site Drupal.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo composer.lock e descubra na hora se você está afetado.