Drupal Security Team выпустила серию из 24 advisories по contrib-модулям. Большинство получили уровень Moderately critical, одна ошибка - GraphQL Core Schema - Critical. В списке преобладают cross-site scripting, обход авторизации и доступа, CSRF, Twig-инъекция, раскрытие информации и подмена данных при отправке.
Самая серьёзная запись - SA-CONTRIB-2026-316 для GraphQL Core Schema: неправильная авторизация позволяет обойти ограничения доступа. Остальные advisories затрагивают Data field, File Resumable Upload, S3 File System CORS Upload, Real Name, Layout Builder iFrame Modal, COOKiES Consent Management, Commerce sermepa, Smart Trim, Download Count, Page Manager, Mollie for Drupal, Entity Print, Campaign Monitor, Paragraphs entity embed, Commerce License, Authenticator Login Plus (2FA), Texts, Paragraphs Edit и другие модули.
Часть проблем связана с XSS в полях и формах, часть - с обходом авторизации при загрузке файлов и работе с сущностями. Для Authenticator Login Plus (2FA) указан обход аутентификации, для Commerce License - обход доступа, для Texts - CSRF и XSS в разных ветках. Все ссылки ведут на официальные страницы advisories с затронутыми версиями и рекомендациями по обновлению.
Практический порядок действий: проверить, какие из перечисленных модулей установлены, обновить их до версий из advisories и не откладывать обновления для GraphQL Core Schema и модулей с обходом авторизации. Если модуль больше не поддерживается, его стоит отключить или заменить; наличие исправления не отменяет проверку пользовательских полей и прав доступа после обновления.
Список стоит читать не как одну уязвимость, а как пакет обновлений contrib-экосистемы. XSS в полях и формах опасен для редакторов и администраторов: через него можно выполнить скрипт в браузере пользователя с правами на управление контентом. Twig-инъекция в Real Name и CSRF в Page Manager и Campaign Monitor требуют отдельной проверки шаблонов и форм. Обход авторизации при загрузке файлов и в Commerce License важен для сайтов с открытой регистрацией и загрузкой документов.
Для Drupal-сайтов практический приоритет такой: сначала GraphQL Core Schema и модули с обходом авторизации или аутентификации, затем XSS и CSRF, затем информационные и менее критичные ошибки. После обновления нужно очистить кеш, проверить права на поля и формы и убедиться, что старые версии модулей не остались в кодовой базе. Если какой-то contrib-модуль больше не поддерживается, его лучше отключить: advisory закрывает известную ошибку, но не гарантирует дальнейшую поддержку.
- https://www.drupal.org/sa-contrib-2026-339
- https://www.drupal.org/sa-contrib-2026-338
- https://www.drupal.org/sa-contrib-2026-337
- https://www.drupal.org/sa-contrib-2026-336
- https://www.drupal.org/sa-contrib-2026-335
- https://www.drupal.org/sa-contrib-2026-334
- https://www.drupal.org/sa-contrib-2026-333
- https://www.drupal.org/sa-contrib-2026-332
- https://www.drupal.org/sa-contrib-2026-331
- https://www.drupal.org/sa-contrib-2026-330
- https://www.drupal.org/sa-contrib-2026-329
- https://www.drupal.org/sa-contrib-2026-328
- https://www.drupal.org/sa-contrib-2026-327
- https://www.drupal.org/sa-contrib-2026-326
- https://www.drupal.org/sa-contrib-2026-325
- https://www.drupal.org/sa-contrib-2026-324
- https://www.drupal.org/sa-contrib-2026-323
- https://www.drupal.org/sa-contrib-2026-322
- https://www.drupal.org/sa-contrib-2026-321
- https://www.drupal.org/sa-contrib-2026-320
- https://www.drupal.org/sa-contrib-2026-319
- https://www.drupal.org/sa-contrib-2026-318
- https://www.drupal.org/sa-contrib-2026-317
- https://www.drupal.org/sa-contrib-2026-316
Ссылки
