CVE-2026-114573
Drupal Monster Menus CVE-2026-114573: PHP object injection в RSS Page
Проверьте Drupal-сайт с Monster Menus: критическая PHP object injection затрагивает версии ниже 9.5.6 только при включённом RSS Page и доступе роли к созданию RSS Feed. Обновление модуля устраняет дефект.
Кому нужно проверить
Администраторам Drupal, использующим модуль Monster Menus, особенно сайтам, где включён RSS Page и редакторам разрешено создавать RSS Feed. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Небезопасная десериализация пользовательского ввода может привести к PHP object injection. Практическая достижимость зависит от наличия пригодной цепочки объектов в окружении; advisory оценивает эксплуатируемость как теоретическую и указывает необходимые права.
Затронутые версии
Monster Menus <9.5.6. Уязвимый путь требует, чтобы был включён подмодуль RSS Page и атакующая роль имела разрешение «RSS Feed: Create new content»; опасная обработка возникает при обработке ввода формы создания RSS-узла.
Исправленные версии
Monster Menus 9.5.6. Официальный security-релиз предназначен для Drupal 10.3 и Drupal 11; перед обновлением проверьте совместимость проекта и текущую поддерживаемую версию.
Что сделать
- 1Проверьте установленные зависимости через Composer: выполните composer show drupal/monster_menus и изучите конфигурацию Drupal, чтобы установить, включён ли подмодуль RSS Page.
- 2В списке ролей проверьте разрешение «RSS Feed: Create new content». До обновления снимите его у непривилегированных ролей и временно отключите RSS Page, если сайт может работать без него.
- 3Сделайте резервную копию базы данных и файлов сайта, проверьте обновление на staging и зафиксируйте lock-файл Composer.
- 4Обновите модуль до 9.5.6 или более новой совместимой исправленной версии командой composer require 'drupal/monster_menus:^9.5.6', затем выполните необходимые обновления БД и очистите кэш по процедуре проекта.
- 5После обновления проверьте формы RSS Page и роли, просмотрите журналы создания RSS-узлов за период риска и расследуйте неожиданные изменения файлов или процессы от имени PHP. При признаках компрометации сохраните журналы, изолируйте узел и смените доступные веб-процессу секреты.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.