CVE-2026-107307
Drupal SmartLinker AI CVE-2026-107307: утечка закрытого контента
SmartLinker AI до 1.0.3 возвращал результаты поиска без полноценной проверки доступа к сущностям. Проверьте право использования действия Generate internal links в AI CKEditor и обновите модуль, если редакторы могут искать материалы, закрытые от их роли.
Кому нужно проверить
Администраторам Drupal с модулем SmartLinker AI, AI CKEditor и редакторскими ролями, работающими с закрытым или неопубликованным контентом. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Пользователь с доступом к функции генерации внутренних ссылок может получить из ответа поиска сведения о сущностях, которые не должен видеть. Advisory говорит об entity access в поисковых результатах и не утверждает утечку всех полей сущности.
Затронутые версии
SmartLinker AI ниже 1.0.3. Для запроса необходимо право использовать функцию AI CKEditor Generate internal links на соответствующем text format. Уязвимый поиск не учитывал entity access при возврате результатов.
Исправленные версии
SmartLinker AI 1.0.3 или более новая совместимая версия.
Что сделать
- 1Проверьте версию drupal/smartlinker_ai в Composer и определите, где включена команда Generate internal links в AI CKEditor.
- 2Сопоставьте права ролей на AI-функцию и text formats с правами просмотра материалов; особое внимание уделите редакторам подрядчиков и ограниченным разделам.
- 3Сделайте резервную копию и проверьте обновление на тестовой копии с несколькими ролями, закрытыми и опубликованными материалами.
- 4Обновите SmartLinker AI до версии 1.0.3 или новее и проверьте composer.lock после deployment.
- 5Пока исправление не установлено, уберите право использовать функцию у ролей, которым нельзя видеть все результаты поиска; после обновления проведите отрицательный тест на закрытой сущности и проверьте журналы вызовов.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.