CVE-2026-96389
Drupal Xray Audit CVE-2026-96389: доступ к закрытым материалам
Xray Audit до исправленных версий не проверял entity access в example route для отображения режима сущности. Если модуль установлен, а маршрут доступен, проверьте версию и обновите её; field-level access продолжает ограничивать отдельные закрытые поля.
Кому нужно проверить
Администраторам Drupal, использующим Xray Audit для аудита контента, сущностей и конфигурации, особенно на production-сайтах. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Посетитель, знающий доступный маршрут и параметры сущности, может увидеть отображение неопубликованной или иначе ограниченной сущности через example route. Это не отменяет отдельные ограничения доступа к полям.
Затронутые версии
Xray Audit <1.6.3, либо >=2.0.0 <2.0.4, либо >=3.0.0 <3.1.1. Уязвим display-mode example route, который недостаточно проверяет entity access. Field-level access продолжает работать, поэтому поля, отдельно закрытые на уровне поля (например email пользователя или password hash), advisory не считает раскрытыми.
Исправленные версии
Xray Audit 1.6.3 для ветки 1.6.x, 2.0.4 для 2.0.x или 3.1.1 для 3.1.x; выберите исправление своей поддерживаемой ветки.
Что сделать
- 1Проверьте версию drupal/xray_audit через Composer и выясните, доступен ли display-mode example route на production.
- 2Сверьте права просмотра для используемых типов сущностей и проверьте, какие unpublished/restricted материалы могут отображаться на маршруте; не публикуйте сам маршрут для недоверенных ролей до обновления.
- 3Сделайте резервную копию и проверьте upgrade на staging с анонимной и ограниченными ролями.
- 4Обновите ветку Xray Audit 3.1.x до 3.1.1, 2.0.x до 2.0.4 или 1.6.x до 1.6.3 соответственно; после обновления проверьте установленную версию и кэш.
- 5Выполните отрицательный тест на unpublished сущности и проверьте журналы обращений к example route за период риска; при признаках просмотра ограниченного контента действуйте по процедуре инцидентов.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.