CVE-2026-114571

Nome do Software Vulnerável e Versões Afetadas Drupal Rabbit Hole versões 0.0.0 a 1.3.0

Description Uma autorização incorreta permite a navegação forçada. O módulo permite que os construtores do site controlem a visualização de páginas de entidades, exibindo a página, retornando respostas de acesso negado ou não encontrado, ou redirecionando os visitantes. Um problema permite que visitantes anônimos ignorem esses comportamentos usando um parâmetro de consulta específico, podendo visualizar conteúdos que deveriam estar ocultos ou evitar redirecionamentos. Além disso, as configurações por entidade são armazenadas em campos que carecem de controle de acesso adequado; embora o módulo verifique permissões para exibir configurações no formulário de edição, os campos seguem o acesso padrão. Isso permite que usuários com permissão de edição de entidades modifiquem essas configurações se houver um caminho de gravação que ignore o formulário da entidade, como REST, JSON:API com gravação habilitada ou Views Bulk Operations.

Recommendations Atualize o Drupal Rabbit Hole para uma versão posterior à 1.3.0. Restrinja o acesso de gravação ao JSON:API, REST ou Views Bulk Operations para usuários que não devem modificar as configurações de entidade.