CVE-2026-108514
Drupal Navigation CVE-2026-108514: XSS через атрибуты
Drupal Navigation module недостаточно очищал отдельные атрибуты. Для атаки нужны права на HTML с определёнными data-атрибутами либо administer menu; проверьте роли и версию core.
Кому нужно проверить
Администраторам Drupal с включённым Navigation и управляющим меню ролями. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Пользователь с нужным разрешением может создать содержимое, приводящее к XSS в интерфейсе.
Затронутые версии
Drupal >=10.3.0 <10.6.19; >=11.0.0 <11.3.19; >=11.4.0 <11.4.10; >=12.0.0-alpha1 <12.0.0-beta2. Для Drupal 10.5 и ниже, Drupal 8/9 ветки EOL.
Исправленные версии
Drupal 10.6.19; 11.3.19; 11.4.10. Для 12.x учитывайте границу beta2 и сверяйтесь с актуальным advisory.
Что сделать
- 1Подтвердите версию ядра и наличие Navigation module.
- 2Проверьте роли с разрешением вводить HTML с data-атрибутами и administer menu; сократите права до необходимых.
- 3Создайте резервную копию, протестируйте и установите исправленный релиз Drupal для вашей поддерживаемой ветки.
- 4Проверьте меню и журналы на неизвестные изменения; права не заменяют установку обновления.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.