CVE-2024-55634：Drupal Core用户注册漏洞，≤9.5.9受影响

Drupal Core 的 CVE-2024-55634 漏洞影响了某些用户字段的唯一性检查。由于数据库引擎及其排序规则的不一致性，导致此检查不一致，允许用户使用另一个现有用户的电子邮件地址进行注册。这会损害数据完整性，可能导致用户身份混淆、访问问题和帐户管理冲突。漏洞影响 Drupal Core 的 8.0.0 之前的 10.2.11、10.3.0 之前的 10.3.9 和 11.0.0 之前的 11.0.8 版本。此漏洞的严重程度为中等，因为它不允许远程代码执行，但会损害数据完整性并可能对平台安全产生重大影响。

Organizations and individuals using Drupal Core versions 8.0.0 through 9.5.9 are at risk. This includes websites and applications built on Drupal that rely on accurate user data and email communication. Sites with custom user registration modules or integrations should also be carefully reviewed to ensure they do not exacerbate the vulnerability.

• drupal: Check Drupal Core version using drush --version.

drush --version

• drupal: Review Drupal logs (sites/[site]/logs/drupal.log) for unusual registration patterns or errors related to email uniqueness. • generic web: Monitor user registration endpoints for suspicious activity using web application firewalls (WAFs) or intrusion detection systems (IDS).

1. 2024-12-10Disclosure

   disclosure

1. 已保留2024-12-09
2. 发布日期2024-12-10
3. 修改日期2025-12-10
4. EPSS 更新日期2026-04-02

此漏洞的解决方案是更新 Drupal Core 到 10.2.11、10.3.9 或 11.0.8 版本，具体取决于您使用的版本。这些版本包含修复程序，可确保所有受支持的数据库引擎和排序规则上的唯一性检查一致。建议尽快执行此更新以降低被利用的风险。此外，请检查数据库日志以查找任何潜在的重复记录，并在必要时手动更正它们。对于使用与用户字段交互的自定义模块的网站，重要的是要验证这些模块是否也与修复程序兼容，并在需要时更新它们。更新应遵循 Drupal 更新的最佳实践，包括备份您的网站并在将更新应用于生产环境之前在开发环境中进行测试。