CVE-2026-107308
Drupal Country CVE-2026-107308: XSS в autocomplete виджете
Модуль Country для Drupal недостаточно экранировал пользовательское значение autocomplete. Риск относится к конфигурациям с дополнительными модулями или собственным кодом, а не к модулю «из коробки»: сверяйте ветку 2.1/2.2 и ставьте соответствующее исправление.
Кому нужно проверить
Администраторам Drupal, использующим contributed-модуль Country и его autocomplete-поля в редакторских или публичных формах. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
При выполнении условий advisory специально сформированное значение может привести к выполнению JavaScript в браузере пользователя, просматривающего страницу с виджетом. Это не означает уязвимость всех сайтов с Drupal или Country.
Затронутые версии
Country <2.1.3 либо Country >=2.2.0 и <2.2.1. Для проявления XSS модуль не уязвим сам по себе в стандартной конфигурации: необходимы дополнительный модуль или custom-код, использующий уязвимый autocomplete widget.
Исправленные версии
Для ветки 2.1.x — Country 2.1.3; для ветки 2.2.x — Country 2.2.1 или более новая совместимая версия.
Что сделать
- 1Уточните версию именно drupal/country через composer show drupal/country и проверьте, не установлено ли несколько несовместимых копий пакета.
- 2Найдите поля Country с autocomplete и проверьте дополнительные модули и собственные обработчики, меняющие или выводящие значения виджета.
- 3Создайте резервную копию, протестируйте обновление и поведение редакторских форм на staging.
- 4Обновите ветку 2.1.x до 2.1.3 или 2.2.x до 2.2.1; зафиксируйте новую версию в composer.lock и разверните по принятой процедуре.
- 5Проверьте журналы и сохранённые значения autocomplete за период до исправления; если были подозрительные записи, проверьте страницы с полями и сессии редакторов. WAF/BotProtection не исправляет код модуля.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.