CVE-2026-107309
Drupal Easy Breadcrumb CVE-2026-107309: раскрытие скрытых терминов
Если на Drupal включена настройка Easy Breadcrumb «Add parent hierarchy», цепочка навигации может показать название неопубликованного родительского термина. Проверьте версию модуля, иерархию таксономии и настройку, затем обновитесь до исправленного релиза.
Кому нужно проверить
Администраторам Drupal, использующим Easy Breadcrumb для навигации по таксономиям с неопубликованными терминами. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Посетитель может увидеть название скрытого родительского термина в хлебных крошках, что способно раскрыть внутреннюю структуру или факт существования закрытой категории. Поля, не выведенные breadcrumb, advisory не считает автоматически раскрытыми.
Затронутые версии
Easy Breadcrumb ниже 2.0.11. Условие: включена настройка Add parent hierarchy (term_hierarchy), а у термина есть неопубликованный предок в иерархии. Ошибка раскрывает breadcrumb-сегмент; advisory не утверждает раскрытие произвольных полей или полный обход доступа к материалам.
Исправленные версии
Easy Breadcrumb 2.0.11 или более поздняя совместимая версия.
Что сделать
- 1Проверьте установленную версию зависимостей командой composer show drupal/easy_breadcrumb; отдельно определите, включена ли настройка Add parent hierarchy (term_hierarchy).
- 2Инвентаризируйте словари таксономии: найдите неопубликованные термины, являющиеся предками опубликованных терминов, и проверьте, где их названия показываются посетителям.
- 3Сделайте резервную копию и протестируйте обновление на staging, проверив breadcrumb для опубликованных и закрытых веток.
- 4Обновите Easy Breadcrumb до версии 2.0.11 или более новой совместимой версии, примените обновления проекта и очистите кэш Drupal.
- 5Если обновление задерживается, временно отключите Add parent hierarchy либо не используйте неопубликованные термины как предков доступных посетителям страниц; после установки исправления проверьте результат анонимным запросом.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.