配置页面 - 中等严重 - 访问绕过 - SA-CONTRIB-2025-093

强制浏览漏洞允许攻击者绕过正常的访问控制机制，直接访问系统中的敏感资源。在Drupal Config Pages中，这意味着攻击者可能能够未经授权地查看和修改配置设置，例如数据库连接信息、API密钥或其他敏感数据。攻击者可以利用这些信息来进一步破坏系统，例如窃取数据、篡改配置或执行恶意代码。由于Drupal Config Pages通常用于管理网站的配置，因此该漏洞的影响范围可能非常广泛，可能影响整个网站的安全性。

Drupal sites utilizing the Config Pages module, particularly those with older versions (0.0.0 - 2.18.0), are at risk. Shared hosting environments where multiple Drupal sites share the same server configuration are also at increased risk, as a compromise of one site could potentially expose configuration data for others.

• drupal: Examine Drupal logs for unusual access attempts to configuration endpoints. Look for requests originating from unexpected IP addresses or user agents.

journalctl -u apache2 -f | grep "Config Pages"

• generic web: Use curl to attempt accessing configuration endpoints without authentication. A successful response indicates potential exploitation.

curl -I http://your-drupal-site.com/admin/config/config-pages/sensitive-setting

1. 2025-08-15Disclosure

   disclosure

1. 已保留2025-07-30
2. 发布日期2025-08-15
3. EPSS 更新日期2026-03-23

最有效的缓解措施是立即升级Drupal Config Pages至2.18.0版本或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑实施一些临时缓解措施，例如限制对Config Pages组件的访问，仅允许授权用户访问。此外，建议审查所有配置设置，确保没有暴露敏感信息。在升级后，请验证配置是否正常工作，并检查系统日志中是否有任何异常活动。