CVE-2026-108515
Drupal Link CVE-2026-108515: XSS в поле ссылок ядра
Drupal core Link module недостаточно очищает некоторые markup-сценарии. Проверьте версии ядра и обновите поддерживаемую ветку; advisory оценивает риск как moderately critical.
Кому нужно проверить
Владельцам Drupal-сайтов и разработчикам, использующим core Link field. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
В определённых обстоятельствах недостаточная очистка разметки может допустить XSS в браузере.
Затронутые версии
Drupal >=8.9.0 <10.6.19; >=11.0.0 <11.3.19; >=11.4.0 <11.4.10; >=12.0.0-alpha1 <12.0.0-beta2. Drupal 8/9 и Drupal 10.5 и ниже EOL.
Исправленные версии
Drupal 10.6.19; 11.3.19; 11.4.10. Для 12.x advisory указывает beta2 как границу диапазона; проверьте актуальный релиз.
Что сделать
- 1Проверьте версию Drupal core через Composer и подтвердите использование core Link module.
- 2Сделайте резервную копию и испытайте обновление с модулями/темами на staging.
- 3Обновите Drupal 10.6.x до 10.6.19, 11.3.x до 11.3.19 или 11.4.x до 11.4.10; EOL-ветки мигрируйте.
- 4Проверьте пользовательские поля ссылок и журналы после обновления.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.