Drupal HTTP客户端管理器中的不当异常或特殊情况检查漏洞允许强制浏览。此问题影响 HTTP Client Manager：从 0.0.0 到 9.3.13 之前版本，从 10.0.0 到 10.0.2 之前版本，从 11.0.0 到 11.0.1 之前版本。

CVE-2025-14840 是 Drupal HTTP 客户端管理器中的一个漏洞，允许进行强制浏览攻击。这是由于 HTTP 请求中对不寻常或异常条件的不充分检查造成的。攻击者可以利用此漏洞访问通常无法从外部访问的内部资源，从而可能泄露敏感信息或执行未经授权的操作。CVSS 严重程度评分为 7.5，表明存在高风险。此漏洞影响 HTTP 客户端管理器模块的特定版本：0.0.0 之前的 9.3.13、10.0.0 之前的 10.0.2 和 11.0.0 之前的 11.0.1。为了降低此风险，必须更新到已修补的版本。

Organizations and individuals using Drupal Core versions 10.0.0–10.0.2 and 11.0.0 are at risk. This includes websites, applications, and services built on Drupal that rely on the HTTP Client Manager for external communication. Shared hosting environments utilizing these vulnerable Drupal versions are particularly susceptible.

• drupal: Check Drupal core version using drush --version. If the version is within the affected range (10.0.0–10.0.2 or 11.0.0), investigate further. • drupal: Examine Drupal logs (sites/[site]/logs/drupal.log) for unusual HTTP requests or redirects. • generic web: Use curl to test for potential URL redirection vulnerabilities. For example: curl -v https://[yourdrupalsite]/path/to/vulnerable/endpoint and examine the response headers. • generic web: Review access logs for suspicious patterns of requests to internal or unexpected URLs.

1. 2026-01-28Disclosure

   disclosure

1. 已保留2025-12-17
2. 发布日期2026-01-28
3. 修改日期2026-02-06
4. EPSS 更新日期2026-03-23

CVE-2025-14840 的解决方案是将 HTTP 客户端管理器模块更新到已修补的版本。具体来说，根据您使用的 Drupal 版本，更新到 9.3.13 或更高版本、10.0.2 或更高版本或 11.0.1 或更高版本。Drupal 已发布这些更新以解决此漏洞。在将其应用于生产环境之前，建议在测试环境中执行更新。此外，请检查您的 Drupal 网站的安全配置，以确保遵循最佳实践，例如限制对敏感资源的访问和使用强密码。虽然没有立即的解决方法，但更新是保护您的网站的最有效方法。