CVE-2026-114523
Drupal Ffmpeg Image Toolkit CVE-2026-114523: RCE через имя загружаемого файла
Ffmpeg Image Toolkit до 1.0.3 недостаточно очищал имена файлов, передаваемые командной строке ffmpeg, что создавало риск удалённого выполнения кода. Необходимое условие эксплуатации по Drupal advisory — возможность атакующего загружать изображения на сайт.
Кому нужно проверить
Администраторам Drupal-сайтов, использующих Ffmpeg Image Toolkit и разрешающих загрузку изображений пользователям. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Недостаточная очистка имени файла перед передачей ffmpeg может привести к выполнению кода на сервере, если атакующий способен загрузить изображение. Проверьте все пользовательские и интеграционные каналы загрузки.
Затронутые версии
Ffmpeg Image Toolkit <1.0.3. Для эксплуатации атакующий должен иметь возможность загружать изображения на сайт.
Исправленные версии
Ffmpeg Image Toolkit 1.0.3 или новее в ветке 1.x.
Что сделать
- 1Проверьте версию drupal/ffmpeg_image_toolkit и роли, API или интеграции, которым разрешена загрузка изображений.
- 2До обновления временно ограничьте загрузку недоверенными пользователями и проверьте входящие файлы, если это совместимо с рабочими процессами.
- 3Сделайте резервную копию и протестируйте обработку изображений и обновление на staging.
- 4Обновите Ffmpeg Image Toolkit до версии 1.0.3 или новее.
- 5Проверьте журналы загрузок и запусков обработки изображений за период риска; при признаках компрометации изолируйте сайт и проведите расследование.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.