- شناسه CVE-2025-9551 :CVE
- CWE-307 :CWE
- yes :Advisory
- منتشر شده: اکتبر 10, 2025
- به روز شده: اکتبر 10, 2025
- امتیاز: 6.5
- نوع حمله: Brute Force
- اثر گذاری: Access Control bypass
- حوزه: سیستم مدیریت محتوا
- برند: Drupal
- محصول: Protected Pages
- وضعیتPublished :CVE
- No :POC
- وضعیت آسیب پذیری: patch شده
چکیده
آسیبپذیری در ماژول Protected Pages در Drupal باعث ایجاد ضعف دور زدن کنترل دسترسیAccess Bypass میشود. این ماژول برای محافظت از صفحات خاص با استفاده از رمز عبور طراحی شده است اما در نسخههای پیش از 1.8.0 هیچ محدودیتی برای تعداد تلاشهای وارد کردن رمز عبور اعمال نمیکند. بهدلیل عدم وجود مکانیزم محدودسازی تلاشها، مهاجم میتواند بدون هیچ مانع امنیتی تعداد بسیار زیادی درخواست ارسال کرده و با اجرای حمله Brute Force رمز صفحه محافظتشده را حدس بزند. این وضعیت امکان دسترسی غیرمجاز به محتوای حساس را فراهم کرده و عملاً کنترل دسترسی صفحه را دور میزند.
توضیحات
آسیبپذیری CVE-2025-9551 ناشی از محدودیت نامناسب یا ناکافی در برابر تلاش های بیش از حد برای احراز هویت مطابق با CWE-307 در ماژول Protected Pages است. این ضعف منجر به دور زدن کنترل دسترسی(Access Bypass) میشود؛ زیرا مهاجم میتواند بدون داشتن رمز معتبر و تنها از طریق حدسزدن آن، به محتوایی دسترسی پیدا کند که باید محرمانه باقی بماند. ماژول Protected Pages به مدیران اجازه میدهد صفحات خاصی را با یک رمز عبور ساده محافظت کنند اما در نسخههای پیش از 1.8.0 هیچ مکانیزمی برای محدود کردن تعداد تلاشهای ورود رمز عبور، تأخیر زمانی، قفل موقت یا ثبت لاگ تلاشهای ناموفق وجود ندارد. در نتیجه مهاجم تنها با دانستن URL صفحه محافظتشده که معمولاً قابل حدس بوده یا با اسکن ساده بهدست میآید، میتواند بدون نیاز به احراز هویت اولیه و کاملاً از راه دور، حملات Brute Force را اجرا کند. چنین حملهای بهسادگی با اسکریپتهای خودکار (مثلاً Python) یا ابزارهای Brute Force انجام می شود و میتواند هزاران تا میلیونها تلاش در زمان کوتاه انجام دهد. در صورت حدس صحیح رمز، مهاجم به تمام محتوای صفحه محافظتشده دسترسی پیدا میکند؛ این محتوا میتواند شامل دادههای حساس، فایلهای محرمانه یا فرمهای داخلی باشد. همچنین ماژول پس از ورود موفق، یک کوکی دسترسی موقت صادر میکند که امکان مرور بدون وارد کردن مجدد رمز را فراهم می کند. این عملکرد باعث تقویت سناریوی دور زدن کنترل دسترسی میشود، زیرا مهاجم پس از یک بار موفقیت میتواند مدت طولانی به محتوا دسترسی داشته باشد.
بهرهبرداری از این آسیبپذیری کاملاً قابل خودکارسازی است و در سایتهایی که از رمزهای ضعیف یا تکراری برای محافظت صفحات استفاده شده باشد، ریسک بهشدت افزایش مییابد. هرچند امکان سوءاستفاده مستلزم دانستن URL هدف است و همین موضوع شدت آسیبپذیری را از سطح بحرانی (Critical) به Moderately Critical کاهش میدهد اما در بسیاری از وبسایتهای عمومی URLهای صفحات محافظتشده الگوهای قابل پیشبینی دارند و بنابراین تهدید همچنان جدی ارزیابی میشود. این ضعف امنیتی در نسخه 1.8.0 ماژول Protected Pages بهطور کامل پچ شده و در این نسخه، مکانیزمهای محدودسازی تلاشهای ورود و تأخیرهای امنیتی افزوده شدهاند. بهروزرسانی سریع به این نسخه برای تمامی کاربران این ماژول ضروری است.
CVSS
| Score | Severity | Version | Vector String |
| 6.5 | MEDIUM | 3.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L |
لیست محصولات آسیب پذیر
| Versions | Product |
| affected from 0.0.0 before 1.8.0 | Protected Pages |
لیست محصولات بروز شده
| Versions | Product |
| 1.8.0 | Protected Pages |
استفاده محصول در ایران
در این جدول، تعداد صفحات ایندکسشده در گوگل با دامنه .ir که Drupal را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.
| Approx. Usage in .ir Domain via Google
(Total Pages) |
Search Query (Dork) | Product |
| 222,000 | site:.ir “Drupal” | Drupal |
نتیجه گیری
این آسیبپذیری با شدت متوسط، امکان اجرای حملات Brute Force علیه رمزهای عبور صفحات محافظتشده در ماژول Protected Pages را فراهم میکند و میتواند منجر به افشای محتوای حساس و دور زدن کنترل دسترسی (Access Bypass) شود.. با توجه به انتشار پچ رسمی، اجرای فوری اقدامات زیر ضروری است:
- بهروزرسانی فوری: ماژول Protected Pages را به نسخه 1.8.0 یا بالاتر به روزرسانی کنید. این اقدام، مؤثرترین و قطعیترین راهکار برای رفع آسیبپذیری است و باید در اولویت قرار گیرد. سایر اقدامات نقش مکمل را دارند و میتوانند به کاهش ریسک این آسیب پذیری و مقابله با حملات مشابه کمک کنند.
- تغییر رمزهای موجود: تمام رمزهای عبور صفحات محافظتشده را به رمزهای قوی و غیرقابل حدس (حداقل 12 کاراکتر با ترکیبی از حروف، اعداد و نمادها) تغییر دهید.
- محدودسازی دسترسی: دسترسی به صفحات محافظتشده را با روشهای کمکی مانند لیست سفید IP، احراز هویت Drupal یا ماژولهایی نظیر Login Security، Flood Control و CAPTCHA تقویت کنید.
- فعالسازی تأخیر و قفل: حتی پس از بهروزرسانی، استفاده از ماژولهایی مانند Brute Force Protection یا reCAPTCHA توصیه میشود تا تلاشهای ورود خودکار محدود یا مسدود شوند.
- پنهانسازی URLها: برای صفحات محافظتشده از URLهای غیرقابل حدس و غیرقابل پیشبینی استفاده کنید و از قرارگیری این URLها در txt، sitemap یا بخشهایی که ایندکس میشوند، جلوگیری کنید.
- نظارت لاگ: لاگهای Drupal را برای تلاشهای مکرر ورود به صفحات محافظتشده بررسی کنید و هشدار خودکار تنظیم نمایید.
بهروزرسانی فوری ماژول و تغییر کامل رمزهای ضعیف، مؤثرترین راهکار برای جلوگیری از آسیب پذیری است. ترکیب آن با مکانیزمهای محدودسازی و نظارت امنیتی، حفاظت قابل اتکایی برای صفحات محافظتشده در Drupal فراهم میکند.
امکان استفاده در تاکتیک های Mitre Attack
Initial Access (TA0001)
مهاجم بدون نیاز به حساب کاربری و با دانستن URL صفحه محافظتشده میتواند حملات Brute Force را از راه دور آغاز کند. نبود محدودیت تلاش، ورود اولیه به محتوای حساس را تنها با حدس صحیح رمز فراهم میکند و مسیر Access Bypass را باز میگذارد.
Credential Access (TA0006)
رمز انتخابشده برای صفحه بهعنوان تنها عامل احراز هویت عمل میکند. حمله Brute Force درواقع استخراج غیرمستقیم Credential است و مهاجم با انجام میلیونها تلاش میتواند رمز را بازیابی کرده و احراز هویت را دور بزند.
Privilege Escalation (TA0004)
پس از موفقیت در Brute Force، مهاجم بدون داشتن نقشهای Drupal و تنها با رمز صفحه، وارد محتوایی میشود که برای کاربران عادی مجاز نیست. این ارتقای سطح دسترسی محدود به صفحه یا بخش محافظتشده است و کنترل دسترسی را دور میزند.
Collection (TA0009)
پس از ورود موفق، مهاجم میتواند تمام محتوای صفحه محافظتشده را استخراج کند؛ شامل دادههای حساس، فایلها، یا فرمهای داخلی. این محتوا مستقیماً با کوکی صادرشده قابل دسترس است.
Impact (TA0040)
این ضعف باعث افشای محتوای حساس، دسترسی غیرمجاز، دور زدن کامل کنترل دسترسی Protected Pages و ایجاد سناریوهای پایدار برای استخراج داده میشود. سطح تاثیر Integrity و Availability کم است اما Confidentiality بهطور مستقیم آسیب میبیند.
منابع
