CVE-2026-107266
Drupal Views Share CVE-2026-107266: выполнение ресурсоёмких Views
Views Share до 2.0.1 недостаточно ограничивал доступ к displays Views: данные посетителю не показываются, но дорогие по ресурсам представления всё же могут выполняться и снижать производительность сайта. Для атаки нужно знать ID view и display.
Кому нужно проверить
Администраторам Drupal, встраивающим Views Share в другие сайты через iframe и использующим тяжёлые Views. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Известные атакующему ID view и display позволяют инициировать выполнение представления; сами данные Views не отображаются, но ресурсоёмкие запросы могут повлиять на производительность.
Затронутые версии
Views Share <2.0.1. Уязвимые displays могут исполнять ресурсоёмкие Views без показа их данных. Для попытки эксплуатации атакующему необходимо знать ID view и display.
Исправленные версии
Views Share 2.0.1 или новее.
Что сделать
- 1Проверьте версию drupal/views_share и наличие опубликованных share endpoints.
- 2Определите ID доступных представлений и оцените стоимость запросов; до обновления ограничьте доступ к endpoints, если это безопасно для продукта.
- 3Обновите Views Share до 2.0.1 или новее.
- 4После обновления проверьте публичные iframe/embed интеграции, серверную нагрузку и журналы обращений к view/display endpoints.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.