CVE-2026-114548

Bu modül, görüntü stili görüntülerinin WebP türevlerini oluşturmanıza ve sunmanıza olanak tanır; bunları sunmak için Drupal core'un görüntü stili indirme denetleyicisini geçersiz kılar. Modül, özel dosya sistemi dışındaki tüm dosya şemaları için (geçici dosya sistemi ve erişim kontrollü özel şemalar dahil), WebP görüntü türevi yanıtlarını `Cache-Control: public` HTTP başlığı ile sunar. Bu durum, bazı kullanıcıların erişmemeleri gereken bilgileri içeren dosyaların önbelleğe alınmış sürümlerini almalarına neden olabilir. Örneğin, dosyalar Varnish veya bir CDN tarafından önbelleğe alınabilir. Bu güvenlik açığı, yalnızca erişim kontrolüne sahip özel veya geçici bir dosya şemasından görüntü türevleri sunan ve `Cache-Control` başlığını dikkate alan paylaşılan bir önbellek arkasında çalışan siteleri etkilemesi nedeniyle hafifletilmiştir. Siteye ulaşan isteklerde erişim kontrolleri hala uygulanmaktadır. Bir saldırganın ayrıca, önbellekte hâlâ bulunan daha önce talep edilmiş bir dosyanın yolunu bilmesi gerekir. Bu, Drupal core içerisinde [SA-CORE-2025-008](https://www.drupal.org/sa-core-2025-008) ve [SA-CORE-2026-010](https://www.drupal.org/sa-core-2026-010) ile düzeltilen aynı güvenlik açığı sınıfıdır; modülün denetleyici geçersiz kılma işlemi bu davranışı yeniden ortaya çıkarmıştır.