Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-863

CVE-2026-110176

Drupal File Force Download modülünde yetkisiz dosya erişimi (Drupal 7)

Drupal File Force Download

Yüksek 8,7 CVSS 4.0
Yayımlandı
Güncellendi
31 Eki 2026
Açık yaşı
0 gün
Kaydı açan
drupal

Yönetici özeti

Bu açık, sitenizde yetkisiz kişilerin bazı dosyalara erişmesine yol açabilir. Hassas belgeler içeren sitelerde iş ve gizlilik riski yüksektir, bu nedenle modülün kısa sürede güncellenmesi önerilir.

ÖzetTürkçe

Drupal 7 için File Force Download modülünün 7.1.0 ile 7.1.2 arasındaki sürümlerinde, hook_file_download uygulaması dosya şeması kontrolü yapmadan başlık döndürüyor. Bu nedenle kimlik doğrulaması yapılmamış bir ziyaretçi, URL'ye download=1 parametresini ekleyerek temporary:// şemasındaki veya başka bir modülün sağladığı akış sarmalayıcısındaki dosyalara erişebiliyor. Genel ve private şemadaki dosyalar etkilenmiyor.

Saldırgan ne yapabilir?

Saldırgan, normalde erişim kontrollerine takılacak dosyaları kimlik doğrulaması olmadan indirebilir ve hassas verilere erişebilir.

Kaynaktaki açıklama (İngilizce)

The File Force Download module for Drupal 7 implements hook_file_download() to add a Content-Disposition header when a file URL carries the download query parameter. In Drupal 7, returning a non-empty header array from that hook is itself a grant of access to the file.

In versions 7.1.0 through 7.1.2, the module only delegated to other modules' hook_file_download() implementations when the file was in the private scheme. For every other scheme it returned its headers without any check. An unauthenticated visitor who appended download=1 to the URL of a file in the temporary:// scheme, or in a stream wrapper supplied by another module, could retrieve the file, overriding the access checks that would otherwise have applied. Files in the public and private schemes are not affected.

Üreticinin geçici önlemi (İngilizce)

Disable the File Force Download module, avoid keeping sensitive files in the temporary:// scheme or in stream wrappers provided by contributed modules, or block anonymous requests that carry a download parameter at the web server or WAF.

Ne yapmalı?

  1. File Force Download modülünü 7.1.3 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme yapılana kadar File Force Download modülünü devre dışı bırakın. Üretici
  3. Güncelleme öncesinde, temporary:// şemasında veya üçüncü taraf modüllerin sağladığı akış sarmalayıcılarında hassas dosya bulunmadığını kontrol edip gerekirse bu dosyaları taşıyın. Genel öneri
  4. Sunucu veya web uygulama güvenlik duvarında, download parametresi içeren anonim istekleri engelleyin. Genel öneri

Ek önlemler

  • Drupal'da kullanılan tüm katkı modüllerini düzenli olarak güncelleyin ve bilinen açıklar için takip edin. Genel öneri
  • Web sunucu erişim günlüklerinde download parametresi içeren anonim isteklerini izleyin. Genel öneri
  • Hassas dosyaları genel erişime açık şemalarda saklamaktan kaçının ve dosya erişim izinlerini düzenli olarak gözden geçirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Drupal File Force Download ≥ 7.1.0, < 7.1.3 7.1.3

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.