CVE-2026-114571
Drupal Rabbit Hole CVE-2026-114571: обход скрытия материалов
Если Drupal использует Rabbit Hole для скрытия материалов, анонимный посетитель может обойти правило через специальный query-параметр. Проверьте версию модуля и обновитесь до 1.3; отдельно ограничьте запись через API и bulk-операции.
Кому нужно проверить
Администраторам Drupal, применяющим Rabbit Hole для скрытия или перенаправления страниц сущностей, а также тем, кто включает запись через JSON:API, REST или Views Bulk Operations. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Анонимный посетитель может получить доступ к сущности, для которой сайт настроен возвращать отказ или 404, либо обойти заданное перенаправление. При отдельном сочетании прав редактирования и доступного write API возможно изменение полей настроек Rabbit Hole.
Затронутые версии
Rabbit Hole <1.3.0. Первая проблема затрагивает сайты, полагающиеся на модуль для запрета просмотра, ответа 404 или перенаправления. Вторая затрагивает сценарии, где атакующая роль может редактировать сущности и доступен обход формы редактирования, например запись через JSON:API, REST или Views Bulk Operations.
Исправленные версии
Rabbit Hole 8.x-1.3. Официальный релиз совместим с Drupal ^9.5, ^10 и ^11.
Что сделать
- 1Определите версию Rabbit Hole командой composer show drupal/rabbit_hole и найдите типы сущностей, для которых настроено поведение доступа или перенаправления.
- 2Сделайте резервную копию БД и файлов, проверьте обновление на staging и убедитесь, что интеграции и правила доступа продолжают работать.
- 3Обновите Rabbit Hole до 8.x-1.3 или более новой совместимой версии; затем выполните предусмотренные проектом обновления схемы/конфигурации и сбросьте кэш.
- 4Пока обновление не выполнено, отключите ненужные методы записи REST и JSON:API и bulk-операции для недоверенных ролей; уберите у таких ролей право редактировать соответствующие сущности.
- 5Протестируйте анонимный запрос к сущности с Rabbit Hole: ответ должен соответствовать заданному запрету, 404 или redirect. Проверьте конфигурационные поля Rabbit Hole, права ролей и журналы изменений сущностей за период риска.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.