CVE-2026-96355
Drupal Webform CVE-2026-96355: условное выполнение кода
Webform подвержен RCE и другим воздействиям, если настроен custom multiple-value item format с submission-value tokens. Проверьте конфигурацию и ветку модуля.
Кому нужно проверить
Администраторам Drupal, использующим Webform и пользовательские форматы отображения ответов. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
При затронутой конфигурации отправленные данные могут интерпретироваться как шаблонный код, привести к утечке, stored XSS или RCE.
Затронутые версии
Webform <6.2.12 либо >=6.3.0 и <6.3.1. Уязвимость требует указанной конфигурации формы; последствия также зависят от модулей и настроек сайта.
Исправленные версии
Webform 6.2.12 для ветки 6.2.x или 6.3.1 для ветки 6.3.x.
Что сделать
- 1Определите установленную версию Webform и проверьте custom multiple-value item formats, использующие submission-value tokens.
- 2Сделайте резервные копии БД и файлов; протестируйте обновление и миграцию конфигурации на staging.
- 3Обновите Webform до 6.2.12 или 6.3.1, в зависимости от ветки.
- 4Если условие конфигурации выполнялось, проверьте submissions, журналы и признаки компрометации; BotProtection не исправляет модуль.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.