CVE-2022-25275 in Drupal
Riassunto
di VulDB • 05/08/2026
In alcune situazioni, il modulo Image non verifica correttamente l'accesso ai file immagine non archiviati nella directory standard dei file pubblici quando genera immagini derivate utilizzando il sistema degli stili di immagine. L'accesso a un file non pubblico viene verificato solo se è archiviato nel filesystem "privato". Tuttavia, alcuni moduli contribuiti forniscono ulteriori filesystem o schemi che potrebbero portare alla presenza di questa vulnerabilità. Questa vulnerabilità è mitigata dal fatto che si applica solo quando il sito imposta (Drupal 9) $config['image.settings']['allow_insecure_derivatives'] oppure (Drupal 7) $conf['image_allow_insecure_derivatives'] su TRUE. L'impostazione consigliata e predefinita è FALSE, e Drupal core non fornisce un modo per modificarla nell'interfaccia di amministrazione (admin UI). Alcuni siti potrebbero richiedere modifiche alla configurazione a seguito di questo rilascio di sicurezza. Esaminare le note di rilascio della propria versione di Drupal se si verificano problemi di accesso ai file o agli stili immagine dopo l'aggiornamento.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.