CVE-2026-114527
Drupal UI Icons CVE-2026-114527: XSS через настройки иконок
UI Icons до 1.1.3 и UI Icons 2.0.0–2.0.1 недостаточно проверяли пользовательские настройки иконок перед выводом. Проверьте используемые ветки и места выбора/рендеринга иконок; Drupal Security Team рекомендует обновление, а ветка 1.0.x не поддерживается.
Кому нужно проверить
Администраторам Drupal, использующим UI Icons, его form element, text format filter или интеграции выбора иконок. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Недостаточная валидация настроек иконок перед рендерингом может привести к XSS. Оцените все места, где недоверенные пользователи могут задавать параметры иконок и где результат выводится.
Затронутые версии
UI Icons <1.1.3 либо >=2.0.0 <2.0.2. Ветка 1.0.x не поддерживается; advisory рекомендует её пользователям перейти на исправленную 1.1.3 или 2.0.2.
Исправленные версии
UI Icons 1.1.3 для ветки 1.1.x; UI Icons 2.0.2 для ветки 2.0.x. Для UI Icons 1.0.x требуется переход на поддерживаемую исправленную ветку.
Что сделать
- 1Проверьте Composer lock-файл на drupal/ui_icons и установите, используется ли ветка 1.x, 2.x или неподдерживаемая 1.0.x.
- 2Определите формы, text formats и интеграции, принимающие настройки иконок от редакторов или других пользователей.
- 3Сделайте резервную копию конфигурации и проверьте совместимость выбранной исправленной ветки на staging.
- 4Обновите UI Icons 1.1.x до 1.1.3 либо UI Icons 2.0.x до 2.0.2; с 1.0.x перейдите на одну из этих исправленных версий.
- 5Проверьте рендеринг ранее сохранённых настроек иконок, пользовательские роли и журналы изменений после обновления.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.