CVE-2025-3057
CVE-2025-3057: критическая XSS-уязвимость Drupal core и исправления
Проверьте Drupal core на CVE-2025-3057: отражённая XSS затрагивала отдельные диапазоны Drupal 8–11. В разборе указаны исправленные релизы, условия риска и действия для поддерживаемых и устаревших установок.
Кому нужно проверить
Владельцам и администраторам сайтов на Drupal, веб-студиям и администраторам российских виртуальных и выделенных серверов, где обновления CMS выполняются вручную или через Composer. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Если сайт работает на затронутом ядре и возникает описанный advisory сценарий, специально сформированный запрос может привести к отражённому выполнению JavaScript в браузере пользователя. Drupal сообщил, что на дату публикации advisory публичных документированных шагов эксплуатации ещё не было; это не отменяет установку исправления. Ограничения хостинга, WAF или BotProtection не исправляют код Drupal.
Затронутые версии
По SA-CORE-2025-001: Drupal >= 8.0.0 < 10.3.13; >= 10.4.0 < 10.4.3; >= 11.0.0 < 11.0.12; >= 11.1.0 < 11.1.3. Drupal 8, Drupal 9 и Drupal 10 до 10.3 уже не поддерживались и не получали security coverage. Ошибка проявляется при недостаточной фильтрации сообщений об ошибках в определённых обстоятельствах; само наличие Drupal не доказывает возможность эксплуатации конкретного сайта.
Исправленные версии
Для указанных веток advisory предписывает Drupal 10.3.13, 10.4.3, 11.0.12 или 11.1.3 соответственно. Это минимальные исправления именно данной advisory, а не рекомендация оставаться на старых ветках: установите актуальный поддерживаемый релиз Drupal. Для Drupal 8/9 и Drupal 10 ниже 10.3 подходящего поддерживаемого исправления в advisory нет; планируйте переход на поддерживаемую ветку и уточните путь обновления у Drupal-разработчика или хостинг-провайдера.
Что сделать
- 1Подтвердите, что сайт использует именно Drupal core: проверьте версию в административном интерфейсе или через Composer (composer show drupal/core-recommended и composer show drupal/core). Сверьте её с диапазонами SA-CORE-2025-001; один только номер PHP или наличие Drupal на сервере недостаточны.
- 2Сделайте проверяемую резервную копию файлов и базы данных, проверьте доступное место и совместимость модулей/тем на тестовой копии. На managed-хостинге уточните, кто отвечает за Composer-зависимости и запуск обновлений.
- 3Обновите затронутую поддерживаемую ветку как минимум до указанного Drupal исправления, предпочтительно до актуального поддерживаемого релиза, используя официальный путь обновления проекта и инструкции хостинга. После обновления проверьте версию пакета и основные сценарии сайта.
- 4Если установлена неподдерживаемая Drupal 8/9 или Drupal 10 ниже 10.3, не считайте эту установку исправленной: согласуйте обновление/миграцию на поддерживаемую ветку с резервированием времени, тестированием модулей и планом отката.
- 5Проверьте журналы веб-сервера и Drupal за период до установки исправления на необычные запросы и ошибки. При признаках компрометации сохраните журналы, ограничьте доступ, смените затронутые секреты и проведите расследование; защита от ботов может быть только дополнительным фильтром трафика.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.