CVE-2022-25270 是 Drupal Core 中发现的权限绕过漏洞。该漏洞源于 Quick Edit 模块在某些情况下未能正确检查实体访问权限，可能导致攻击者利用该漏洞访问未经授权的内容。受影响的版本包括 Drupal Core 9.3.5 及更早版本。已发布补丁版本 9.3.6。
攻击者可以利用此漏洞绕过访问控制机制，访问他们原本没有权限查看的内容。这可能包括敏感信息、管理界面或其他受保护的资源。虽然该漏洞不会导致远程代码执行，但它可能被用于收集信息、破坏网站的完整性，甚至可能作为进一步攻击的跳板。如果攻击者能够访问关键数据或配置信息，则可能对网站的运营和用户数据造成严重影响。此漏洞的潜在影响取决于网站的配置和数据的敏感程度。
该漏洞已公开披露，且存在潜在的利用风险。目前尚未观察到大规模的利用活动，但由于漏洞的易利用性，建议尽快采取缓解措施。该漏洞尚未被添加到 CISA KEV 目录。公开的 POC 尚未发现，但漏洞的描述表明攻击者可以通过构造特定的请求来绕过访问控制。
Sites utilizing the Drupal Standard profile with the Quick Edit module enabled are specifically at risk. Organizations relying on Drupal for content management and with strict access control requirements should prioritize patching. Shared hosting environments using Drupal Standard are also particularly vulnerable due to the pre-installed Quick Edit module.
• drupal: Check Drupal core version using drush --version. If ≤9.3.5, the system is potentially vulnerable.
• drupal: Verify Quick Edit module is enabled using drush en quickedit. Disable if not required.
• drupal: Review user roles and permissions to ensure only authorized users have 'access in-place editing'.
• generic web: Monitor Drupal logs (typically in /var/log/apache2/error.log or similar) for unusual access patterns or errors related to Quick Edit.
disclosure
漏洞利用状态
EPSS
0.25% (49% 百分位)
CVSS 向量
最有效的缓解措施是立即升级到 Drupal Core 9.3.6 或更高版本。如果无法立即升级，可以考虑禁用 Quick Edit 模块，但这会影响网站的编辑功能。此外，审查网站的访问控制策略，确保用户权限设置正确，并定期进行安全审计。如果使用第三方模块，请确保它们与 Drupal Core 的最新版本兼容，并及时更新。
将 Drupal Core 更新到 9.3.6 或 9.2.13 版本，或更高版本。这将修复 Quick Edit 模块中的漏洞。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2022-25270 是 Drupal Core 中发现的权限绕过漏洞，源于 Quick Edit 模块的实体访问检查不当，可能导致未授权访问。
如果您的 Drupal Core 版本低于 9.3.6 且安装了 Quick Edit 模块，则您可能受到影响。
升级到 Drupal Core 9.3.6 或更高版本是修复此漏洞的最佳方法。如果无法升级，请考虑禁用 Quick Edit 模块。
虽然目前尚未观察到大规模的利用活动，但由于漏洞的易利用性，建议尽快采取缓解措施。
请访问 Drupal 安全公告页面：https://www.drupal.org/security/advisories/CVE-2022-25270
上传你的 composer.lock 文件，立即知道是否受影响。