Drupal Login Time Restriction 存在跨站请求伪造 (CSRF) 漏洞，允许跨站请求伪造。此问题影响 Login Time Restriction: 从 0.0.0 之前的 1.0.3 版本。

攻击者可以利用此 CSRF 漏洞伪造请求，从而在用户不知情的情况下修改 Drupal 网站的配置或执行其他恶意操作。例如，攻击者可以更改登录时间限制的设置，允许未经授权的用户访问系统。更严重的场景下，攻击者可能利用此漏洞执行代码注入攻击，进一步控制受影响的系统。由于 Drupal 广泛应用于各种网站和应用程序，因此该漏洞的潜在影响范围非常广泛，可能导致敏感数据泄露、服务中断以及声誉损失。

Drupal sites utilizing the Login Time Restriction module, particularly those with sensitive data or critical functionality, are at risk. Sites running older, unpatched versions of Drupal are especially vulnerable. Shared hosting environments where users have limited control over installed modules also face increased risk.

• drupal: Check the version of the Login Time Restriction module using drush pm-info logintimerestriction. If the version is less than 1.0.3, the system is vulnerable. • generic web: Monitor Drupal site logs for suspicious POST requests originating from different IP addresses than the authenticated user's. Use a WAF to block requests without valid CSRF tokens.

1. 2026-01-28Disclosure

   disclosure

1. 已保留2025-12-03
2. 发布日期2026-01-28
3. 修改日期2026-02-19
4. EPSS 更新日期2026-03-23

最有效的缓解措施是升级 Drupal Login Time Restriction 模块到 1.0.3 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑实施一些临时缓解措施，例如在所有关键操作上启用 CSRF 令牌验证。此外，建议审查 Drupal 网站的配置，确保所有用户权限都已正确设置，并定期进行安全审计，以识别和修复潜在的安全漏洞。升级后，请确认模块已成功更新，并测试关键功能以确保其正常运行。