CVE-2022-25278：Drupal Core权限绕过漏洞 (≤9.3.9)

Drupal Core 中的 CVE-2022-25278 影响了表单 API 评估表单元素访问的方式。具体来说，系统没有正确验证修改某些字段所需的权限，这可能允许具有不足权限的用户修改他们不应该访问的数据。这可能表现为修改网站配置、操纵敏感内容，甚至修改用户数据。影响取决于网站配置和用户权限，但在最坏的情况下，可能会危及网站上存储的信息的完整性和安全性。CVSS 严重程度为 6.5，表示中等风险。为了降低这种风险，必须将 Drupal 更新到 9.3.19 或更高版本。

1. 已保留2022-02-16
2. 发布日期2023-04-26
3. 修改日期2025-02-03
4. EPSS 更新日期2026-04-02

解决 CVE-2022-25278 的主要方法是将 Drupal Core 更新到 9.3.19 或更高版本。此更新包含必要的修复程序，以正确验证表单元素访问。此外，建议审查 Drupal 网站上的用户权限和角色，以确保用户只能访问他们需要的实用程序和数据。定期安全审计可以帮助识别和纠正可能增加漏洞利用风险的潜在错误配置。如果无法立即更新，请考虑实施额外的安全措施，例如限制对网站某些区域的访问以及监控用户活动是否存在可疑行为。