SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2026-110176

WysokieCVSS 8.7
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Moduł File Force Download dla Drupal 7 w wersjach 7.1.0–7.1.2 zwracał nagłówki Content-Disposition bez sprawdzania uprawnień dla plików spoza schematu private. Nieuwierzytelniony użytkownik mógł pobrać pliki ze schematu temporary:// lub z innych stream wrapperów, dodając parametr download=1 do adresu URL.

Ocena ryzyka

Może dojść do nieautoryzowanego ujawnienia plików tymczasowych lub plików obsługiwanych przez inne moduły, co narusza kontrolę dostępu i może wyciec poufne dane.

Rekomendacja

Zaktualizuj moduł File Force Download do wersji nowszej niż 7.1.2 lub wdróż poprawkę, a do czasu aktualizacji ogranicz dostęp do plików w schemacie temporary:// i innych wrapperach.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

The File Force Download module for Drupal 7 implements hook_file_download() to add a Content-Disposition header when a file URL carries the download query parameter. In Drupal 7, returning a non-empty header array from that hook is itself a grant of access to the file. In versions 7.1.0 through 7.1.2, the module only delegated to other modules' hook_file_download() implementations when the file was in the private scheme. For every other scheme it returned its headers without any check. An unauthenticated visitor who appended download=1 to the URL of a file in the temporary:// scheme, or in a stream wrapper supplied by another module, could retrieve the file, overriding the access checks that would otherwise have applied. Files in the public and private schemes are not affected.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS