CVE-2026-107310
Drupal Freelinking CVE-2026-107310: раскрытие заголовков приватных страниц
Freelinking до 4.0.3 мог раскрывать заголовки для некоторых приватно доступных URL при обработке ссылок. Риск возникает, если пользователь может применять text format с включённым Freelinking-плагином, которому разрешено обходить приватные внешние URL.
Кому нужно проверить
Администраторам Drupal, использующим фильтр Freelinking для контентных форматов и приватных внешних URL. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Пользователь, допущенный к соответствующему формату текста, может раскрыть заголовки страниц по некоторым приватно доступным URL. Advisory не утверждает раскрытие полного содержимого страниц.
Затронутые версии
Freelinking <4.0.3. Для проявления необходим доступ к использованию text format с настроенным Freelinking plugin, разрешающим crawl приватно доступных external URLs.
Исправленные версии
Freelinking 4.0.3 или новее.
Что сделать
- 1Проверьте установленную версию drupal/freelinking и список text formats, где активирован плагин.
- 2Проверьте, разрешён ли crawl приватно доступных external URLs, и временно отключите эту функциональность для оценки риска.
- 3Сделайте резервную копию и проверьте обновление на staging с пользовательскими ролями, имеющими доступ к затронутому формату.
- 4Обновите Freelinking до 4.0.3 или новее.
- 5После обновления проверьте поведение форматов и журналы использования соответствующего фильтра; восстановите необходимую функциональность только после проверки конфигурации.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.