Внедрение PHP-объектов в Monster Menus и межсайтовый скриптинг в модулях Drupal

23 модуля Drupal для оформления, управления контентом и доступа получили исправления безопасности. В Monster Menus обнаружено внедрение PHP-объектов. Оно позволяет пользователю с правом создания RSS-страниц подставить в форму данные, которые приложение преобразует в объект с нежелательными свойствами. Остальные выпуски закрывают межсайтовый скриптинг, обход контроля доступа, подделку запросов и раскрытие файлов.

Состав выпуска и условия атаки в 23 модулях Drupal

Уязвимость в Monster Menus находится в подмодуле RSS Page, который создаёт страницы из RSS-лент. При обработке формы создания такой страницы модуль передаёт входные данные в функцию PHP для восстановления сериализованных объектов. Внедрение PHP-объектов означает, что злоумышленник может собрать данные так, чтобы приложение создало объект с нежелательными свойствами. Drupal оценивает риск как Critical, 16 из 25. Атака идёт по сети, нужна учётная запись с правом "RSS Feed: Create new content", подмодуль RSS Page должен быть включён.

Исправленная версия - Monster Menus 9.5.6. CVE-2026-114573 присвоен этому выпуску. Во всех выпусках статус эксплуатации - теоретический, сведений о реальных атаках нет.

Межсайтовый скриптинг в модулях оформления

Межсайтовый скриптинг - внедрение исполняемого кода в страницу, которую открывает другой пользователь. В UI Icons уязвимость проявляется в виджете CKEditor 5, который выводит текст под контролем администратора. Атака возможна, если у пользователя есть доступ к редактированию контента с форматом текста, где включена кнопка UI Icons. Исправления: UI Icons 1.1.3 для ветки 1.1.x и 2.0.2 для ветки 2.0.x; ветка 1.0.x не поддерживается. В Block Attributes модуль не очищает атрибуты блока, поэтому нужна роль с правом администрирования блоков; исправленная версия - 2.1.0.

В USWDS Paragraph Components шаблоны не очищают значения, передаваемые в разметку. Атака требует роли с правом редактирования контента, который использует наборы параграфов модуля. Исправленная версия - 3.1.3.

В теме Bootstrap уязвимость затрагивает только дополнительные функции подсказок и всплывающих окон. Ветка 5.0.x не уязвима, атака требует учётной записи с правом редактирования контента. Исправление - Bootstrap 8.x-3.45. В Data field форматер, который выводит ссылки на загруженные файлы, не экранирует имена файлов. Нужна роль с правом загрузки файлов в подполе Data Field; исправленная версия - 2.0.14.

Обход доступа и подделка запросов

Обход контроля доступа затрагивает несколько модулей управления контентом. В View Unpublished пользователь с правом доступа к контенту видит опубликованные переводы материала, у которого есть хотя бы один неопубликованный перевод. Это обходит ограничения других модулей доступа. Условие - многоязычный сайт и включённый модуль; исправление - View Unpublished 8.x-1.5.

В Domain уязвимость проявляется при включённой настройке прав на типы контента. Пользователь с правом редактирования или удаления контента на назначенных доменах может выйти за пределы своих доменов. Настройка по умолчанию выключена, ветка 2.0.x не затронута. Исправление - Domain 3.0.2.

В Simple User Management модуль не проверяет делегирование ролей при одобрении пользователей. Пользователя 1 можно деактивировать или удалить. Нужна роль с дополнительными правами модуля. Исправленная версия - 8.x-1.11.

Во Frontend Editing две уязвимости закрывает версия 1.9.3. Подделка межсайтовых запросов позволяет обманом заставить редактора открыть специальную ссылку и удалить или переставить параграфы. Вторая уязвимость не проверяет права на поля при редактировании, удалении и добавлении параграфов. Для атаки нужны права на редактирование на странице сайта и доступ к родительскому материалу.

В Simple OAuth с версии 6.1.0 модуль кешировал права токена и мог переиспользовать их для токена другого пользователя с теми же областями доступа. Пользователь мог получить права, которых у него нет, включая административные. Нужен токен OAuth 2.0, и сначала должен использоваться токен более привилегированного пользователя. Исправление - 6.1.3.

Media Bulk Upload не проверяет право на создание конкретного типа медиа, если форма массовой загрузки настроена на этот тип. Нужна роль с правом на массовую загрузку; исправление - 3.0.6. Fullcalendar View позволяет обновлять поля сущности без проверки доступа на уровне полей. Атака требует доступа к обновлению самой сущности; исправленная версия - 5.2.6.

В Shield модуль не ограничивает число попыток базовой аутентификации. Это позволяет подбирать пароль, если учётные данные слабые. Длинный случайный пароль практически не поддаётся перебору. Исправление - Shield 8.x-1.9.

Domain Login Restrict не применяет ограничения домена при входе способом, отличным от стандартной формы. Нужна действительная учётная запись и включённая настройка ограничения. Исправление - 8.x-1.5.

AI File to Text не проверяет право на просмотр файла перед извлечением текста. Пользователь с правом вызова инструментов искусственного интеллекта может получить содержимое файлов из частного хранилища. Исправленная версия - 1.0.1.

Rabbit Hole содержит две уязвимости. Специальный параметр запроса позволяет обойти настроенный запрет доступа или перенаправление. Вторая уязвимость связана с полями настроек: их может менять любой пользователь с правом редактирования сущности, если сайт принимает запись через программные интерфейсы JSON:API и REST или массовые операции. Исправление - 8.x-1.3. Для снижения риска отключите запись через REST и массовые операции для ролей без права администрирования Rabbit Hole.

DocCheck Basic недостаточно проверяет данные аутентификации через программный интерфейс DocCheck. Это может дать вход в общую учётную запись медицинского работника. Исправленная версия - 2.2.1.

Раскрытие информации через предпросмотр и кеш

В Ágora Transparency Theme тема выводит предпросмотр CSV-файлов, прикреплённых к материалу, и не проверяет доступ к файлу. Посетитель, которому запрещена загрузка файла, но разрешён просмотр материала, читает содержимое на странице. Предпросмотр может закешироваться и попасть другому посетителю. Условие - CSV хранятся вне публичной файловой системы, а загрузка ограничена дополнительным модулем или кодом. Исправление - 1.2.3.

В Swiper formatter маршрут для показа опубликованных материалов в диалоге не проверяет доступ текущего пользователя к конкретной сущности. Возвращается только отрендеренный вывод, а права на поля сохраняются. Исправления: 2.1.2 для ветки 2.x и 3.1.0 для ветки 3.x.

Media Alias Display может отдавать файлы с разрешением публичного кеширования, когда файл должен быть некешируемым. Пользователь получает закешированную версию файла, к которому у него нет доступа. Нужна настройка непубличной файловой схемы, а атакующий должен знать путь к файлу, который ранее запросил более привилегированный пользователь. Исправления: 2.1.2 для ветки 2.1.x и 3.0.2 для ветки 3.0.x.

TinyPNG не проверяет доступ к производным изображений, когда файлы отдаются через поток, отличный от частного. Условие - сайт использует стороннюю файловую схему для частных производных изображений. Исправление - 2.0.2.

ImageAPI Optimize WebP отдаёт WebP-производные с разрешением публичного кеширования для всех схем, кроме частной. Это включает временную файловую систему и пользовательские схемы с контролем доступа. Файлы могут попасть в кеш Varnish или в сеть доставки контента. Уязвимость повторяет класс, который Drupal закрывал в ядре в 2025 и 2026 годах. Исправление - 2.1.2; ветка 2.0.x не поддерживается.

Monster Menus требует обновления в первую очередь. Остальные уязвимости проявляются при наличии учётной записи или определённых настроек. Сайтам с Rabbit Hole также нужно обновиться без задержки. Для Bootstrap временная мера - отключить подсказки и всплывающие окна. Обновление до указанных версий закрывает описанные уязвимости.

Состав выпуска и условия атаки в 23 модулях Drupal

Межсайтовый скриптинг в модулях оформления

Обход доступа и подделка запросов

Раскрытие информации через предпросмотр и кеш

Ссылки