CVE-2022-25277：Drupal Core RCE漏洞 (≤9.3.9)

Drupal Core 的 CVE-2022-25277 影响了文件上传过程中的文件名清理方式。虽然 Drupal 已经实施了防止上传具有危险扩展名（如 .htaccess）的文件以及删除文件名开头和结尾的点的一些措施，但这些保护措施没有正确协同工作。在允许 .htaccess 扩展名的配置中，文件名清理将失败，从而可能允许上传恶意服务器配置文件。这可能导致远程代码执行，从而危及网站的安全性。

1. 已保留2022-02-16
2. 发布日期2023-04-26
3. 修改日期2025-02-03
4. EPSS 更新日期2026-04-02

解决此漏洞的方案是将 Drupal Core 更新到 9.3.19 或更高版本。此更新更正了文件名清理保护措施之间的不正确交互。为了最大限度地减少风险，务必尽快应用此更新。此外，请检查您网站的配置，以确保仅允许必要的扩展名，并对文件上传应用严格的安全策略。定期备份网站也是在发生事件时恢复的一种良好实践。