• El núcleo de Drupal sanea los nombres de archivo con extensiones peligrosas al subirlos y elimina los puntos iniciales y finales de los nombres de archivo, para evitar que se suban archivos de configuración del servidor. Sin embargo, estas protecciones no funcionaban correctamente juntas, por lo que si el sitio estaba configurado para permitir la carga de archivos con una extensión htaccess, los nombres de estos archivos no eran saneados correctamente. Esto podría permitir a un atacante eludir las protecciones proporcionadas por los archivos .htaccess por defecto del núcleo de Drupal y la ejecución remota de código en servidores web Apache. Se ha asignado el identificador CVE-2022-25277 para esta vulnerabilidad alta que afecta al core de Drupal 9.
• En algunas situaciones, el módulo 'imagen' no comprueba correctamente el acceso a los archivos de imagen no almacenados en el directorio de archivos públicos estándar cuando se generan imágenes derivadas utilizando el sistema de estilos de imagen, lo que podría permitir la divulgación de información. Se ha asignado el identificador CVE-2022-25275 para esta vulnerabilidad media que afecta al core de Drupal 7 y 9.

Para el resto de vulnerabilidades de severidad media, que afectan al core de Drupal 9, se han asignado los identificadores CVE-2022-25278 y CVE-2022-25276.