CVE-2026-107311
Drupal Permissions by Term CVE-2026-107311: обход доступа через JSON:API
Permissions by Term до 3.1.41 мог недостаточно проверять доступ в Permission mode, когда через JSON:API запрашивался node со ссылкой на удалённый taxonomy term. Уязвимость требует одновременного наличия конкретной конфигурации, удалённого термина и доступа через JSON:API.
Кому нужно проверить
Администраторам Drupal с модулем Permissions by Term, режимом Permission mode и включённым JSON:API. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
При выполнении всех условий запрос может обойти проверку доступа к node, связанной с удалённым taxonomy term. Риск не распространяется автоматически на конфигурации без этих условий.
Затронутые версии
Permissions by Term <3.1.41. Эксплуатация требует включённого Permission mode, node, ссылающегося на удалённый taxonomy term, и доступности запроса через JSON:API.
Исправленные версии
Permissions by Term 3.1.41 или новее.
Что сделать
- 1Проверьте версию drupal/permissions_by_term, режим Permission mode и доступность JSON:API для нужных типов сущностей.
- 2Найдите node, ссылающиеся на удалённые taxonomy terms; до обновления устраните такие связи или ограничьте соответствующий JSON:API endpoint, если это допустимо.
- 3Сделайте резервную копию и протестируйте обновление с реальными access policies на staging.
- 4Обновите Permissions by Term до 3.1.41 или новее.
- 5Проверьте отрицательные запросы к JSON:API от анонимной и ограниченной роли и просмотрите журналы доступа за период риска.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.