CVE-2022-25276：Drupal Core oEmbed iframe XSS漏洞

Drupal Core的CVE-2022-25276影响了Media模块中的oEmbed iframe路由。该漏洞源于对iframe域名设置的不当验证，允许嵌入在主域的上下文中显示。这可能导致跨站脚本攻击（XSS）、Cookie泄露或其他安全漏洞。 广泛使用第三方嵌入的网站面临的风险尤其高，因为攻击者可能会利用此漏洞向受保护的页面注入恶意代码，从而危及用户安全和网站完整性。 为了减轻此风险，必须将Drupal升级到9.3.19或更高版本。 由于Drupal 7不包含Media模块，因此不受影响。

1. 已保留2022-02-16
2. 发布日期2023-04-26
3. 修改日期2025-02-03
4. EPSS 更新日期2026-04-02

解决CVE-2022-25276的主要方法是将Drupal Core升级到9.3.19或更高版本。此更新包含必要的修复程序，以正确验证oEmbed iframe域名。此外，还应审查和更新任何使用Media模块及其oEmbed功能的自定义模块。实施内容安全策略（CSP）可以通过限制可以加载到网站上的内容来源来提供额外的保护层。 监控网站日志以查找可疑活动也是一种推荐的做法，用于检测和响应潜在的利用尝试。