Authenticator Login یک افزونه‌ی مشارکتی برای Drupal است که امکان فعال‌سازی ورود دومرحله‌ای با برنامه‌های احراز هویت را برای ارتقاء امنیت نشست‌ها و حساب‌های کاربری فراهم می‌کند. اخیراً یک آسیب‌پذیری بحرانی از نوع دور زدن احراز هویت از طریق مسیر جایگزین با شناسه‌ی CVE-2025-8995 و شدت 9.8 برای این افزونه شناسایی شده است که به مهاجم غیرمجاز امکان می‌دهد راهکارهای کنترل دسترسی و احراز هویت دومرحله‌ای را دور بزند.
جزئیات آسیب‌پذیری
این نقص امنیتی ناشی از آن است که تمام مسیرهای مرتبط با ورود کاربران به‌صورت یکنواخت تحت بررسی‌های احراز هویت و سیاست‌های احراز هویت دو مرحله‌ای قرار نمی‌گیرند. بنابراین یک درخواست به مسیر جایگزین می‌تواند بررسی‌های لازم مانند وضعیت احراز هویت دومرحله‌ای یا اعتبارسنجی نشست را دور زده و نشست معتبر ایجاد کند یا به حساب کاربر مجوز دسترسی اعطا کند.
بردار CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H نشان می‌دهد مهاجم می‌تواند از راه دور و از طریق شبکه، بدون دسترسی قبلی و بدون نیاز به تعامل کاربر، با ارسال درخواست‌هایی به مسیر جایگزین، کنترل‌های احراز هویت دو مرحله‌ای را دور بزند. این نقص با پیچیدگی پایین قابل بهره‌برداری است؛ اثرات آن محدود به دامنه سامانه هدف است و می‌تواند منجر به افشای گسترده اطلاعات، تغییر یا تخریب داده‌ها و اختلال در دسترس‌پذیری گردد.
نسخه‌های تحت‌تأثیر
- تمامی نسخه‌های Authenticator Login از 0.0.0 تا پیش از 2.1.4 تحت تأثیر این آسیب‌پذیری قرار دارند.
توصیه‌های امنیتی
- به‌روزرسانی افزونه‌ی Authenticator Login به نسخه‌ی 2.1.4 یا جدیدتر در سایت‌های Drupal
- اعمال محدودیت برای ورود به پنل مدیریتی سایت‌ها بر اساس لیست آدرس‌های مجاز
- بررسی لاگ‌ها برای نشانه‌های ورود غیرمعمول مانند نشست‌های ایجادشده بدون عبور از احراز هویت دو مرحله‌ای یا تغییر نقش‌های کاربری
- حذف نشست‌های فعال در صورت مشاهده سوءاستفاده
منابع خبر:
[1]https://www.drupal.org/sa-contrib-2025-096
[2]https://nvd.nist.gov/vuln/detail/CVE-2025-8995
[3]https://www.cve.org/CVERecord?id=CVE-2025-8995
- 35