CVE-2025-31675：Drupal核心XSS漏洞(8.0.0-11.1.5)

Drupal Core 中的 CVE-2025-31675 代表着一个跨站脚本 (XSS) 漏洞。这意味着攻击者可以将恶意代码注入到 Drupal 网站的网页中，这些网页随后会在访问这些网页的用户浏览器中执行。潜在的影响包括窃取敏感信息（如会话 cookie）、将用户重定向到恶意网站或修改页面内容。此漏洞影响多个 Drupal Core 版本：从 8.0.0 到 10.3.13，从 10.4.0 到 10.4.4，从 11.0.0 到 11.0.12，以及从 11.1.0 到 11.1.4。为了减轻此风险，至关重要的是将 Drupal Core 更新到已修复的版本。此问题的根本原因是 Web 页面生成过程中输入未得到适当的清理，从而允许恶意代码注入。

Websites running Drupal Core versions 8.0.0 before 10.3.14, 10.4.0 before 10.4.5, 11.0.0 before 11.0.13, and 11.1.0 before 11.1.5 are at risk. This includes organizations relying on Drupal for content management, e-commerce, or other web applications, particularly those with user-generated content or forms that accept user input.

• drupal: Check Drupal core version using drush --version. • drupal: Review Drupal logs (sites/[site]/logs/drupal.log) for suspicious JavaScript injection attempts. • generic web: Use curl -I <URL> to inspect response headers for unusual script tags or encoded characters. • generic web: Monitor access logs for requests containing suspicious URL parameters or POST data that could be exploited for XSS.

1. 2025-04-01Disclosure

   disclosure

1. 已保留2025-03-31
2. 发布日期2025-04-01
3. 修改日期2026-04-06
4. EPSS 更新日期2026-03-23

减轻 CVE-2025-31675 的主要解决方案是将 Drupal Core 更新到 10.3.14 或更高版本、10.4.5 或更高版本、11.0.13 或更高版本或 11.1.5 或更高版本。这些版本包含防止 XSS 代码注入的必要修复。此外，请审查并更新任何可能与用户输入交互的自定义或第三方模块。实施内容安全策略 (CSP) 可以通过限制浏览器可以加载的内容源来提供额外的保护层。监控服务器日志以查找可疑活动也可以帮助检测和响应潜在攻击。应用这些安全措施将有助于保护您的 Drupal 网站免受此漏洞的利用。