CVE-2026-114571

Rabbit Hole sayt qurucularına bir obyektin səhifəsi görüntüləndikdə nə baş verəcəyini idarə etməyə imkan verir: onu göstərmək, giriş qadağan edildi və ya tapılmadı cavabını qaytarmaq və ya ziyarətçini digər URL-ə yönləndirmək. Modulda iki zəiflik mövcuddur. Müəyyən sorğu parametri ilə Rabbit Hole davranışı ötürülə bilər. Bu hallarda, təsirlənmiş obyekt Rabbit Hole-un sorğunu xəta səhifəsi kimi qəbul etməsinə və heç bir hərəkət etməməsinə səbəb olurdu. Anonim ziyarətçi sayt tərəfindən giriş qadağanı və ya tapılmadı cavabı qaytarılması üçün konfiqurasiya edilmiş məzmunu görə bildiyi kimi, konfiqurasiya edilmiş yönləndirmədən də yayınabilərdi. Hər bir obyekt üzrə parametrlər modulun dəstəklənən obyekt növlərinə əlavə etdiyi sahələrdə saxlanılır. Modul həmin parametrləri obyektin redaktə formasında göstərib-göstərməyə qərar verərkən yalnız "Administer Rabbit Hole settings for `<entity type>`" icazəsini yoxlayır. Sahələrin özlərində heç bir giriş kontrolu yoxdur, buna görə də Drupal-ın standart sahə girişi tətbiq olunur və obyekti redaktə edə bilən hər kəs bu sahələri də redaktə edə bilir. Birinci zəiflik, obyektlərə girişi qadağan etmək və ya onları gizlətmək üçün Rabbit Hole-dan istifadə edən hər bir sayta təsir edir. İkinci zəifliyin təsiri isə hücum edənin təsirlənmiş obyektləri redaktə etmək icazəsi olan rola malik olması və saytın obyekt formasını yan keçən yazı yolunu (məsələn, yazma funksiyası aktiv olan JSON:API, REST və ya Views Bulk Operations) təqdim etməsi faktı ilə azaldılır.