Drupal-модули закрывают обход доступа в Commerce Escrow и XSS в htmLawed

Сообщество Drupal выпустило исправления для нескольких модулей, которые расширяют ядро системы. Обход доступа в Commerce Escrow позволяет подделать уведомления платёжного сервиса Escrow. В результате неоплаченный заказ выглядит оплаченным. Кроме того, часть модулей уязвима к межсайтовому скриптингу, то есть к внедрению чужого кода.

Подделка вебхуков и обход проверки прав

Через Commerce Escrow магазин на Drupal Commerce принимает платежи сервиса Escrow.com. При этом обход доступа описан в уведомлении SA-CONTRIB-2026-302. Идентификатор уязвимости - CVE-2026-122071, риск оценили как 13 из 25. Чтобы подделать уведомление, учётные данные не нужны. Зато можно изменить статус оплаты или завершённости заказа.

По сети модуль принимает от Escrow.com сообщения о смене статуса платежа или заказа. Подлинность таких запросов он проверяет недостаточно строго. Поэтому подложное сообщение проходит как настоящее. В итоге неоплаченный заказ можно закрыть как оплаченный. Также можно отменить заказ, который уже в работе.

Исправление вышло в версии Commerce Escrow 1.1.0. Ветку 1.0.x разработчики больше не поддерживают. После обновления нужно заново зарегистрировать адрес вебхука в Escrow.com. Новый адрес показан в настройках каждого платёжного шлюза. Сведений об эксплуатации уязвимости в реальных атаках нет.

Права на публикацию и сброс пароля

Модуль Scheduler публикует материалы по расписанию, но права на изменение дат проверяет не всегда. Из-за этого материал может выйти раньше срока. Уязвимость CVE-2026-122075 срабатывает, если материал правят через программный интерфейс. Примеры таких интерфейсов - JSON:API и REST. Обновиться нужно до 8.x-1.7, 2.2.3 или 2.3.1.

Отдельная страница смены пароля в Password Separate Form не всегда сверяет текущий пароль. При этом злоумышленнику нужен доступ к уже открытой сессии жертвы. Подойдёт чужой незакрытый браузер или украденная сессия. Из-за этого временный доступ превращается в постоянный захват учётной записи. Обновление до версии 2.0.3 закрывает уязвимость.

Модуль Reset Password Email/SMS OTP разработчики отнесли к критическому уровню. Сброс пароля для заблокированных пользователей он проверяет неверно. Однако новый пароль сработает только после того, как учётную запись разблокируют. Обновление до 1.0.5 устраняет эту уязвимость.

Forum Access до версии 2.0.3 разрешает создавать темы в закрытом форуме. При этом пользователю там положен только просмотр. Уязвимость проявляется при нестандартном виджете поля форума или при создании материала через программный интерфейс. Кроме того, обновления требует и Allowed Languages. Без исправления модуль не мешает создать материал на запрещённом языке.

SQL-инъекция и фильтры HTML

Модуль WordsOnline Connector связывает сайт с сервисом переводов. Данные в запросах он проверяет плохо, поэтому возможна SQL-инъекция - подстановка команд в запрос к базе. В результате злоумышленник читает данные сайта, включая учётные записи. Для атаки нужен вход в систему и право создавать задания на перевод. Исправление вышло в версии 2.0.6, ветка 1.0.x не затронута.

Модуль htmLawed фильтрует HTML в текстовых форматах. Один из обходов фильтра опирается на некорректный символ UTF-8. Из-за этого на страницу попадает чужой код. Затронуты только сайты на SQLite со старой версией библиотеки. Исправление - 4.1.11 для ветки 4.1.x и 8.x-3.10 для 8.x-3.x.

Ещё одно уведомление по htmLawed касается проверки атрибутов. Оно затрагивает сайты на ядре новее 11.2 или с библиотекой HTMX. Здесь нужна версия 4.1.11. Ветку 8.x-3.x эта уязвимость не затрагивает. Кроме того, в настройках фильтра нужно запретить атрибуты HTMX.

Несколько модулей закрывают межсайтовый скриптинг в редактируемом контенте. Name Field в версиях до 1.6.0 выводит сохранённое имя как HTML. Extended HTML Filter в версиях до 1.0.4 пропускает опасные атрибуты HTMX. AdobeAnalytics в версиях до 8.x-1.1 не проверяет права на расширенные функции. При этом атакующему нужно право добавлять или править материал.

Кроме того, Mime Mail до 2.0.4 при редких настройках раскрывает непубличные файлы. Islandora до 2.19.1 позволяет перезаписать чужие файлы, включая приватные. Первый случай требует знания имён файлов и права отправлять письма. Во втором достаточно права обновлять медиа. В Islandora затронут и подмодуль извлечения текста.

Что делать администратору сайта

Обновиться нужно всем сайтам, где включены перечисленные модули. Многие уязвимости требуют только права редактировать материал или создавать темы. Поэтому после установки исправлений полезно пересмотреть такие роли. Помимо обновления уведомления предлагают лишь точечные настройки фильтров.

Подделка вебхуков и обход проверки прав

Права на публикацию и сброс пароля

SQL-инъекция и фильтры HTML

Ссылки