Десять проектов Drupal допускают удалённое выполнение кода и межсайтовый скриптинг

Десять проектов для Drupal содержат уязвимости, две из которых ведут к удалённому выполнению кода. Остальные открывают путь к межсайтовому скриптингу (XSS), то есть к внедрению сценария в страницы сайта; один проект раскрывает названия приватных веб-форм. Затронуты модули обработки изображений и форматтеров (правил вывода полей), поля CSV (табличный формат), интеграция со Swiper, темы и сборка Sector (готовый набор модулей). Обновления выпущены для всех перечисленных проектов.

Выполнение кода и межсайтовый скриптинг в расширениях Drupal

Ffmpeg Image Toolkit передаёт имена загруженных файлов в утилиту ffmpeg без достаточной очистки. Специально составленное имя файла позволяет выполнить команду на сервере, поэтому проблему относят к удалённому выполнению кода. По сети атака идёт с учётной записью, у которой есть право загружать файлы; участие пользователя ограничено загрузкой изображения. Уязвимы версии ниже 1.0.3; наибольшая оценка по шкале Drupal Security Team, команды безопасности проекта, - 20 из 25. Идентификатор - CVE-2026-114523.

Custom Formatters позволяет администратору создавать правила вывода полей через веб-интерфейс без отдельного модуля. Встроенный движок выполняет пользовательский PHP-код, поэтому право на управление форматтерами фактически даёт произвольное выполнение кода на сайте. Для эксплуатации нужна учётная запись с административными правами; атака идёт по сети, участие обычных пользователей не требуется. Уязвимы версии ниже 4.2.1, исправление - 4.2.1. Ей присвоен идентификатор CVE-2026-114524.

Для всех десяти проектов вендор оценивает эксплуатацию как теоретическую, сведений о реальных атаках нет. Расширения устанавливаются отдельно от ядра Drupal, поэтому обновление ядра эти уязвимости не закрывает.

Межсайтовый скриптинг в темах оформления

Уязвимости межсайтового скриптинга (XSS) затрагивают темы Zero Point, Black Hole и ABC. Перед вставкой в атрибуты классов HTML темы не очищают заголовки ссылок меню. Пользователь с правом создавать или изменять заголовки меню может внедрить сценарий, который выполнится у посетителя. Ограничение - необходимость доступа к администрированию меню или к настройкам контентного меню.

Исправленные версии: Zero Point 8.x-1.30 и 2.0.1; Black Hole 8.x-1.26 и 2.0.1; ABC 8.x-1.25 и 2.0.1. Во всех трёх случаях атака идёт по сети и требует учётной записи с правом менять заголовки меню.

Межсайтовый скриптинг в модулях и сборке Sector

UI Icons не проверяет настройки значков, которые пользователи передают перед выводом на страницу. Право на изменение этих настроек позволяет внедрить сценарий, который выполнится у посетителя. По сети атака требует учётной записи с правом менять настройки значков. Уязвимы версии до 1.1.3 и ветка 2.0.x до 2.0.2; исправление - UI Icons 2.0.2 для ветки 2.0.x и 1.1.3 для ветки 1.1.x. Поддержка 1.0.x прекращена, сайтам на этой ветке нужен переход на 1.1.3 или 2.0.2.

CSV Field не экранирует значения ячеек и заголовков CSV-файла перед передачей в библиотеку DataTables (библиотека для построения таблиц). Пользователь с правом создавать или редактировать материал с полем CSV может внедрить сценарий через содержимое таблицы. Для атаки нужна учётная запись с правом работы с таким материалом; запрос идёт по сети. Уязвимы версии до 2.0.10 и ветка 3.0.x до 3.0.7; исправление - 3.0.7 для ветки 3.0.x и 2.0.10 для ветки 2.0.x. Ветка 1.0.x больше не поддерживается.

Swiper formatter использует введённый пользователем текст как часть слайда без достаточной фильтрации. Право на редактирование подписи к слайду открывает путь к внедрению сценария. По сети атака требует учётной записи с правом менять подпись. Уязвимы версии до 2.1.2 и ветка 3.0.x до 3.1.0; исправление - 3.1.0 и 2.1.2.

Сборка Sector содержит собственный модуль, который не очищает названия медиафайлов. Пользователь с правом создавать или изменять медиаобъект (карточка файла или изображения) может внедрить сценарий через название. По сети атака требует учётной записи с правом работы с медиаобъектами. Уязвимы версии до 10.3.3 и ветка 10.4.x до 10.4.2; исправление - Sector 10.3.3 для ветки 10.3.x и 10.4.2 для ветки 10.4.x.

Раскрытие названий приватных веб-форм

Dopup не выполняет достаточной проверки доступа к сущностям и может показывать заголовки приватных веб-форм. Уязвимость не требует аутентификации: запрос идёт по сети, учётные данные не нужны, участие пользователя не требуется. Уязвимы версии ниже 1.0.7, исправление - Dopup 1.0.7. Сведения об эксплуатации в реальных атаках отсутствуют.

Обновление закрывает все десять проблем. В первую очередь меняют Ffmpeg Image Toolkit и Custom Formatters, поскольку успешная атака на них даёт контроль над сервером. Остальные исправления защищают посетителей от внедрённых сценариев и скрывают служебные данные. Проверять версии нужно по каждому установленному расширению отдельно.

Выполнение кода и межсайтовый скриптинг в расширениях Drupal

Межсайтовый скриптинг в темах оформления

Межсайтовый скриптинг в модулях и сборке Sector

Раскрытие названий приватных веб-форм

Ссылки