BetaBeta: базовая защита бесплатно, расширенный тариф — 90 ₽ в день.Проект в стадии beta — базовая защита навсегда бесплатно, расширенный тариф — 90 ₽ в день с поминутным списанием.
Практический справочник для бизнеса
Разбираем известные уязвимости простым языком: затронут ли ваш сайт, что обновить и какие признаки проверить. Если подключить BotProtection, автоматизированные запросы можно отфильтровать на уровне защиты до того, как они попадут на сайт. Это заметно снижает вероятность, что бот доберётся до уязвимого компонента и начнёт его проверять или атаковать, но не заменяет исправление уязвимой CMS, плагина или библиотеки.
Обновлено: 6 ноября 2026. Каждая статья проверяется по первоисточникам.
Показаны 109–120 из 145
CVE-2026-107306
XSS в Menu Link Attributes требует нескольких условий одновременно: небезопасный атрибут уже настроен привилегированным администратором, а атакующий имеет права управлять меню и использовать атрибуты. Проверьте конфигурацию и обновитесь до 8.x-1.8.
Администраторам Drupal, использующим Menu Link Attributes и предоставляющим редакторам права на управление меню.
Читать разборCVE-2026-107311
Permissions by Term до 3.1.41 мог недостаточно проверять доступ в Permission mode, когда через JSON:API запрашивался node со ссылкой на удалённый taxonomy term. Уязвимость требует одновременного наличия конкретной конфигурации, удалённого термина и доступа через JSON:API.
Администраторам Drupal с модулем Permissions by Term, режимом Permission mode и включённым JSON:API.
Читать разборCVE-2026-107307
SmartLinker AI до 1.0.3 возвращал результаты поиска без полноценной проверки доступа к сущностям. Проверьте право использования действия Generate internal links в AI CKEditor и обновите модуль, если редакторы могут искать материалы, закрытые от их роли.
Администраторам Drupal с модулем SmartLinker AI, AI CKEditor и редакторскими ролями, работающими с закрытым или неопубликованным контентом.
Читать разборCVE-2026-114527
UI Icons до 1.1.3 и UI Icons 2.0.0–2.0.1 недостаточно проверяли пользовательские настройки иконок перед выводом. Проверьте используемые ветки и места выбора/рендеринга иконок; Drupal Security Team рекомендует обновление, а ветка 1.0.x не поддерживается.
Администраторам Drupal, использующим UI Icons, его form element, text format filter или интеграции выбора иконок.
Читать разборCVE-2026-107266
Views Share до 2.0.1 недостаточно ограничивал доступ к displays Views: данные посетителю не показываются, но дорогие по ресурсам представления всё же могут выполняться и снижать производительность сайта. Для атаки нужно знать ID view и display.
Администраторам Drupal, встраивающим Views Share в другие сайты через iframe и использующим тяжёлые Views.
Читать разборCVE-2026-96389
Xray Audit до исправленных версий не проверял entity access в example route для отображения режима сущности. Если модуль установлен, а маршрут доступен, проверьте версию и обновите её; field-level access продолжает ограничивать отдельные закрытые поля.
Администраторам Drupal, использующим Xray Audit для аудита контента, сущностей и конфигурации, особенно на production-сайтах.
Читать разборCVE-2023-7028
В некоторых выпусках GitLab письмо для сброса пароля могло попасть на неподтверждённый адрес. Проверьте версию своего сервера, установите исправление и выясните, не менялись ли аккаунты без ведома владельцев.
Владельцам собственного GitLab, где хранятся исходные тексты сайта и запускается автоматическая доставка обновлений. Проверку выполняет администратор GitLab совместно с ответственным за учётные записи.
Читать разборCVE-2014-0160
Heartbleed раскрывала фрагменты памяти программ со старым OpenSSL. Исправление прекращает утечку, но не отзывает уже раскрытые секреты: проверьте библиотеку, перезапустите службы и спланируйте замену ключей.
Администраторам старых веб-серверов, почтовых систем, VPN и сетевых устройств, использующих OpenSSL. Материал особенно полезен при обнаружении давно не обновлявшейся системы или разборе исторической утечки.
Читать разборCVE-2024-23897
Старый Jenkins мог выдавать содержимое файлов через командный интерфейс, в том числе пользователю без входа. Проверьте версию контроллера, ограничьте доступ и обновите его без попыток читать секретные файлы.
Командам, у которых Jenkins собирает сайт, запускает тесты или доставляет обновления на сервер. Контроллер — центральная служба Jenkins, управляющая заданиями; именно её версия и файлы рассматриваются здесь.
Читать разборCVE-2023-38546
Некоторые приложения с libcurl могли незаметно прочитать cookie из файла none. Ошибка требует особой последовательности действий в программе и не затрагивает обычную команду curl. Проверьте библиотеку и обновление приложения.
Разработчикам и администраторам программ, которые обращаются к сайтам через libcurl и сохраняют состояние сеанса. Владельцу сайта стоит передать этот разбор поставщику интеграции, фонового загрузчика или другого сетевого клиента.
Читать разборCVE-2025-29927
Если сайт на Next.js проверяет доступ только в middleware, некоторые старые версии позволяют обойти эту проверку. Узнайте способ размещения сайта, обновите Next.js и проверьте защиту самих данных.
Владельцам сайтов с личным кабинетом, платными материалами или административными страницами на Next.js. Разработчику нужно проверить, где именно приложение решает, кому разрешено читать и менять данные.
Читать разборCVE-2021-23017
Старый nginx мог повредить память при обработке ответа DNS, если включена директива resolver и атакующий способен подделать ответ DNS-сервера. Проверьте конфигурацию и пакет: одного номера nginx недостаточно для оценки применимости.
Администраторам nginx, который во время работы разрешает доменные имена через resolver, например в подходящих прокси-конфигурациях. Владельцу управляемой платформы нужно запросить подтверждение исправления у провайдера.
Читать разборКаждый разбор содержит ссылки на источники. Перед изменениями производственной системы проверяйте актуальные инструкции поставщика программного обеспечения.
BotProtection фильтрует автоматизированные запросы до сайта. Так вероятность успешной атаки становится значительно ниже, пока вы устанавливаете обновления и устраняете саму уязвимость.
