CVE-2026-107265
Drupal Leaflet CVE-2026-107265: stored XSS в заголовке карты
Drupal Leaflet ниже 10.4.13 мог выводить заголовки содержимого без фильтрации при формировании карты. Уязвимость затрагивает сайт, если пользователь с правом редактирования может добавить материал, показываемый на Leaflet map; исправьте модуль и проверьте сохранённые записи.
Кому нужно проверить
Администраторам Drupal с модулем Leaflet, картами на сайте и редакторами, которым разрешено добавлять отображаемые на карте материалы. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Сохранённый заголовок может содержать XSS, выполняющуюся у посетителя страницы карты при отображении соответствующего содержимого. Риск зависит от прав редакторов и фактического использования Leaflet formatter.
Затронутые версии
Leaflet ниже 10.4.13. Уязвимость проявляется в определённых обстоятельствах, когда field formatter формирует карту и не фильтрует заголовки содержимого. Атакующему нужно иметь право создавать или редактировать контент, который используется в карте.
Исправленные версии
Leaflet 10.4.13 или более поздняя совместимая версия.
Что сделать
- 1Проверьте версию drupal/leaflet и определите поля/Views, использующие Leaflet field formatter для построения карт.
- 2Проверьте роли, способные создавать или редактировать отображаемые на карте сущности, и ограничьте ненужный доступ на период исправления.
- 3Сделайте резервную копию и проверьте обновление Leaflet вместе с Drupal core, темами и картами на тестовой копии сайта.
- 4Обновите модуль до 10.4.13 или новее, затем проверьте версию пакета и сбросьте кэш отображения по процедуре проекта.
- 5Проверьте сохранённые заголовки отображаемых сущностей и журналы изменений, протестируйте страницу карты анонимным пользователем. Если подозрительные записи уже были показаны, проведите анализ сессий редакторов.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.