CVE-2026-107306
Drupal Menu Link Attributes CVE-2026-107306: XSS в атрибутах меню
XSS в Menu Link Attributes требует нескольких условий одновременно: небезопасный атрибут уже настроен привилегированным администратором, а атакующий имеет права управлять меню и использовать атрибуты. Проверьте конфигурацию и обновитесь до 8.x-1.8.
Кому нужно проверить
Администраторам Drupal, использующим Menu Link Attributes и предоставляющим редакторам права на управление меню. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
При всех условиях advisory может быть сохранён JavaScript в атрибутах контейнера ссылки меню и выполнен в браузере посетителя. Сам факт установленного модуля и его стандартная конфигурация не подтверждают уязвимость.
Затронутые версии
Menu Link Attributes ниже 8.x-1.8 (проектный номер ветки Drupal 8.x и новее). Уязвимость возможна только если ранее администратор с правом Administer menu link attributes настроил небезопасный атрибут; атакующей роли нужны также права Administer menus and menu links и Use menu link attributes. Стандартная конфигурация не затронута.
Исправленные версии
Menu Link Attributes 8.x-1.8 или более поздняя версия. После обновления необходимо выполнить database updates: исправление удаляет небезопасные определения атрибутов и сбрасывает render cache.
Что сделать
- 1Проверьте версию drupal/menu_link_attributes и права ролей на Administer menu link attributes, Administer menus and menu links и Use menu link attributes.
- 2Проведите аудит уже сохранённых определений атрибутов контейнеров меню и найдите значения, содержащие небезопасную разметку или скриптовые схемы.
- 3Сделайте резервную копию БД и файлов, затем протестируйте обновление на staging: advisory указывает, что update удалит unsafe definitions и очистит render cache.
- 4Обновите модуль до 8.x-1.8 или новее и обязательно выполните database updates для обновлённой конфигурации.
- 5Повторно проверьте определения меню, кэш и вывод страниц под анонимным пользователем; если обновление откладывается, снимите соответствующие права и отключите небезопасные атрибуты.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.