CVE-2026-114571

Rabbit Hole, site oluşturucuların bir varlığın sayfası görüntülendiğinde ne olacağını kontrol etmelerini sağlar: sayfayı gösterir, erişim engellendi veya bulunamadı yanıtı döndürür ya da ziyaretçiyi başka bir URL'ye yönlendirir. Modülde iki adet güvenlik açığı bulunmaktadır. Rabbit Hole davranışı, belirli bir sorgu parametresi ile atlanabilir. Bu durumlarda, etkilenen bir varlık Rabbit Hole'un isteği bir hata sayfası olarak değerlendirmesine ve hiçbir işlem yapmamasına neden olur. Anonim bir ziyaretçi, sitenin erişim engellendi veya bulunamadı yanıtı döndürmek üzere yapılandırdığı içeriği görüntüleyebilir veya yapılandırılmış bir yönlendirmeden kaçınabilir. Varlık başına ayarlar, modülün desteklenen varlık türlerine eklediği alanlarda saklanır. Modül, bu ayarları varlık düzenleme formunda gösterip göstermeyeceğine karar verirken yalnızca "Administer Rabbit Hole settings for `<entity type>`" iznini kontrol eder. Alanların kendileri herhangi bir erişim kontrolüne sahip değildir, bu nedenle Drupal'ın varsayılan alan erişimi geçerlidir ve varlığı düzenleyebilen herkes bu alanları da düzenleyebilir. İlk güvenlik açığı, varlıklara erişimi engellemek veya onları gizlemek için Rabbit Hole'a güvenen her siteyi etkiler. İkincisi ise, saldırganın etkilenen varlıkları düzenleme iznine sahip bir role sahip olması gerektiği ve sitenin yazma işlemi etkinleştirilmiş JSON:API, REST veya Views Bulk Operations gibi varlık formunu baypas eden bir yazma yolu sunması gerektiği gerçeğiyle hafifletilmiştir.