CVE-2026-114548

Bu modul şəkil stilində olan şəkillərin WebP törəmələrini yaratmağa və təqdim etməyə imkan verir, onları təmin etmək üçün Drupal core-un şəkil stili yükləmə kontrollerini əvəz edir. Modul, özəl fayl sistemi istisna olmaqla, müvəqqəti fayl sistemi və girişə nəzarət edilən xüsusi sxemlər də daxil olmaqla bütün fayl sxemləri üçün WebP şəkil törəməsi cavablarını `Cache-Control: public` HTTP başlığı ilə təqdim edir. Bu, bəzi istifadəçilərin giriş hüququ olmayan məlumatları ehtiva edən faylların keşlənmiş versiyalarını almasına səbəb ola bilər. Məsələn, fayllar Varnish və ya CDN tərəfindən keşlənə bilər. Bu zəiflik yalnız girişə nəzarət edilən xüsusi və ya müvəqqəti fayl sxemindən şəkil törəmələri təqdim edən və `Cache-Control` başlığını tanıyan ortaq keş arxasında yerləşən saytlara təsir etdiyi üçün risk səviyyəsi azalmışdır. Sayta birbaşa çatan sorğular üzrə giriş yoxlamaları hələ də tətbiq edilir. Hücumçu həmçinin keşdə hələ də mövcud olan və əvvəllər sorğu edilmiş faylın yolunu bilməlidir. Bu, [SA-CORE-2025-008](https://www.drupal.org/sa-core-2025-008) və [SA-CORE-2026-010](https://www.drupal.org/sa-core-2026-010) vasitəsilə Drupal core-da düzəldilmiş zəiflik sinfi ilə eynidir; modulun kontroller əvəzləməsi bu davranışı yenidən ortaya çıxarmışdır.