CVE-2026-110738
Drupal Gin Admin Theme CVE-2026-110738: XSS в атрибутах интерфейса
Gin Admin Theme до 4.1.4 и в диапазоне 5.0.0–5.0.15 недостаточно очищал отдельные атрибуты, что могло привести к XSS. Для атаки нужны права на ввод HTML-тегов с определёнными data attributes либо право administer menu.
Кому нужно проверить
Администраторам Drupal, использующим тему Gin и выдающим редакторам права на HTML-ввод или управление меню. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Пользователь с подходящими правами может создать содержимое/атрибуты, приводящие к выполнению JavaScript в интерфейсе. Обычные роли без указанных разрешений не удовлетворяют advisory-условиям.
Затронутые версии
Gin <4.1.4 либо >=5.0.0 <5.0.16. Эксплуатация требует роли с разрешением вводить HTML-теги, содержащие специальные data attributes, или разрешением administer menu.
Исправленные версии
Gin 4.1.4 для ветки 4.x; Gin 5.0.16 для ветки 5.x.
Что сделать
- 1Определите ветку Gin Admin Theme и проверьте роли с разрешениями на ввод HTML и administer menu.
- 2Временно отзовите избыточные права на ввод HTML или управление меню, если это не нарушит рабочие процессы.
- 3Сделайте резервную копию, проверьте совместимость темы и обновление на staging.
- 4Обновите Gin 4.x до 4.1.4 либо Gin 5.x до 5.0.16 или новее.
- 5Проверьте страницы админ-интерфейса и меню под ограниченной ролью; исследуйте журналы редакторских изменений за период риска.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.