CVE-2026-107262
Drupal Advanced Filesystem CVE-2026-107262: CSRF в Backup submodule
Advanced Filesystem до 1.0.28 недостаточно проверял некоторые запросы в submodule Backup. Атакующий может попытаться заставить вошедшего пользователя выполнить непредусмотренное действие; затронуты только сайты, где включён advanced_filesystem_backup.
Кому нужно проверить
Администраторам Drupal, использующим Advanced Filesystem Backup и имеющим пользователей с активными сессиями. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Пользователь с активной сессией может быть обманом вынужден выполнить непредусмотренное действие в функциональности Backup. Advisory указывает, что риск требует включённого backup submodule.
Затронутые версии
Advanced Filesystem <1.0.28. Условие применимости — включённый модуль advanced_filesystem_backup.
Исправленные версии
Advanced Filesystem 1.0.28 или новее.
Что сделать
- 1Проверьте версию пакета Advanced Filesystem и включён ли advanced_filesystem_backup.
- 2Если Backup submodule не нужен, отключите его до установки исправления; оцените влияние на резервное копирование и сопровождение файлов.
- 3Проверьте обновление на staging и сохраните проверенную резервную копию конфигурации и данных.
- 4Обновите Advanced Filesystem до 1.0.28 или новее.
- 5После обновления проверьте административные сценарии Backup и журналы операций; при подозрительных действиях проведите проверку учётных записей.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.