Drupal แก้ 3 CVE ใน Field Permissions และ Content Sync

Drupal แก้ 3 CVE ใน Field Permissions และ Content Sync: สิทธิ์ field กับรหัสผ่านซิงก์ข้อมูล

ทีมความปลอดภัย Drupal เปิดเผยช่องโหว่ใหม่สามรายการในโมดูลเสริมสองตัวเมื่อวันที่ 28 ตุลาคม 2026 โมดูล Field Permissions มีสองปัญหาเกี่ยวกับการบังคับสิทธิ์ระดับ field ส่วน Content Sync (content-sync.io) มีปัญหาการปกป้องรหัสผ่านบัญชีระบบที่ใช้ซิงก์ข้อมูลไม่เพียงพอ ทั้งสองโมดูลทำงานคนละหน้าที่ และมีเงื่อนไขการใช้ช่องโหว่ต่างกัน ผู้ดูแลควรตรวจว่าติดตั้งโมดูลใดและใช้งานการตั้งค่าที่เกี่ยวข้องจริงก่อนประเมินผลกระทบ

วันเปิดเผยต่อสาธารณะครั้งแรก: Drupal เผยแพร่ประกาศ Field Permissions SA-CONTRIB-2026-288 วันที่ 28 ตุลาคม 2026 เวลา 17:41:52 UTC และ SA-CONTRIB-2026-289 เวลา 17:41:55 UTC ส่วน Content Sync SA-CONTRIB-2026-291 เผยแพร่เวลา 17:49:49 UTC ระเบียน CVE ที่เกี่ยวข้องทั้งสามเผยแพร่ครั้งแรกวันที่ 30 ตุลาคม 2026 เวลา 03:08:34–03:08:37 UTC ตามระบบ CVE แพตช์ของทั้งสองโมดูลออกวันที่ 28 ตุลาคม 2026 ก่อนประกาศไม่นาน

CVE-2026-118583: role ชื่อ administrator อาจผ่านสิทธิ์ระดับ field

Field Permissions ให้ผู้ดูแลกำหนดว่าใครสร้าง แก้ไข หรือดู field แต่ละรายการได้ ประกาศ Drupal ระบุว่าโมดูลตรวจสิทธิ์ผู้ดูแลไม่เพียงพอเมื่อพิจารณา field ที่ถูกป้องกัน ผู้ใช้ที่มี role ซึ่งใช้ machine name ว่า administrator อาจข้ามข้อจำกัดของ field แล้วดูหรือแก้ไขข้อมูลที่ตนไม่ควรเข้าถึงได้ อย่างไรก็ตาม เงื่อนไขสำคัญคือ role ชื่อนี้ ไม่ได้ถูกตั้งให้เป็น administrator role ของเว็บไซต์จริง เว็บไซต์ที่ใช้การกำหนด administrator role แบบค่าเริ่มต้นของ Drupal ไม่ได้รับผลกระทบตามประกาศ

โมดูลเวอร์ชัน ก่อน 8.x-1.6 ได้รับผลกระทบ และแก้ใน 8.x-1.6 ผู้ดูแลควรตรวจ machine name ของ role กับค่าที่เว็บไซต์ระบุว่าเป็น administrator role โดยเฉพาะเว็บไซต์ที่ย้ายข้อมูลหรือปรับแต่ง role มานาน หากพบ role ชื่อ administrator แต่ไม่ได้เป็น admin role จริง ให้ทบทวนผู้ใช้ที่ถือ role นั้นและ field ที่อาจถูกเปิดให้ดูหรือแก้ไขก่อนแพตช์

CVE-2026-118584: field แบบ Private บน entity ที่ไม่มีเจ้าของ

อีกปัญหาใน Field Permissions เกิดกับ field ที่ตั้งเป็น Private บนชนิด entity ที่ไม่มี field ระบุผู้สร้างหรือเจ้าของ โมดูลจำกัดการเข้าถึงไม่เพียงพอ ทำให้ผู้ที่เข้าดู entity นั้นได้อาจดู private field และหาก entity แก้ไขได้ก็อาจแก้ field ดังกล่าวได้ด้วย รวมถึงผู้ใช้ที่ไม่ได้เข้าสู่ระบบในบางกรณี เงื่อนไขคือผู้ดูแลต้องตั้ง private field บน entity ที่ไม่มีเจ้าของ และผู้โจมตีต้องเข้าดู entity นั้นได้อยู่แล้ว Drupal ระบุชัดว่า private field บน nodes, users, media, comments และ entity อื่นที่มีเจ้าของไม่ได้รับผลกระทบจากรายการนี้ เช่นเดียวกับ field ที่ใช้ Custom permissions

เวอร์ชัน ก่อน 8.x-1.6 ได้รับผลกระทบ ผู้ใช้บน Drupal 9.5, 10 หรือ 11 ควรอัปเดต Field Permissions เป็น 8.x-1.6 หน้า release สร้างวันที่ 28 ตุลาคม 2026 เวลา 16:02 UTC หลังอัปเดตให้ตรวจ entity type ที่ไม่มีเจ้าของแต่มี private field และทดสอบด้วยบัญชีที่มีสิทธิ์ต่างกัน รวมถึงผู้เยี่ยมชมที่ไม่ได้เข้าสู่ระบบหาก entity นั้นเปิดให้ดู แหล่งแพตช์: https://www.drupal.org/project/field_permissions/releases/8.x-1.6

CVE-2026-118568: รหัสผ่านบัญชีระบบของ Content Sync เข้ารหัสไม่เพียงพอ

Content Sync (content-sync.io) ใช้แบ่งปันและนำเนื้อหากลับมาใช้ระหว่างเว็บไซต์ Drupal ประกาศระบุว่ารหัสผ่านของ system user ที่ใช้ซิงก์ข้อมูลไม่ได้ถูกเข้ารหัสเพียงพอ ผู้ที่ไม่มีสิทธิ์ในงานซิงก์อาจเห็นรหัสผ่านได้ แต่ต้องเข้าถึง database dump หรืออ่านตารางข้อมูลผู้ใช้ในฐานข้อมูลได้ก่อน โครงการระบุชัดว่าใช้ช่องโหว่นี้ไม่ได้หากไม่มีการเข้าถึงฐานข้อมูลมาก่อน ดังนั้นไม่ควรกล่าวว่าเป็นการเปิดเผยรหัสผ่านต่อผู้เยี่ยมชมเว็บไซต์ทั่วไป

โมดูลเวอร์ชัน ก่อน 3.2.2 ได้รับผลกระทบ Drupal แนะนำให้อัปเดตเป็น 3.2.2 ซึ่งหน้า release สร้างวันที่ 28 ตุลาคม 2026 เวลา 13:19 UTC หลังอัปเดตควรตรวจขอบเขตผู้ที่เข้าถึง database dump, backup และตารางข้อมูลผู้ใช้ รวมถึงจัดการรหัสผ่านบัญชีระบบตามกระบวนการขององค์กรหากมีหลักฐานว่าข้อมูลฐานข้อมูลหลุดหรือถูกเข้าถึงโดยผู้ไม่ควรได้รับ แหล่งแพตช์: https://www.drupal.org/project/cms_content_sync/releases/3.2.2

สำหรับทั้งสาม CVE ขั้นตอนหลักคือสำรวจโมดูลและเวอร์ชัน ติดตั้งแพตช์จากหน้า release ของโครงการ ทดสอบสิทธิ์กับ role และ entity ที่ตรงตามเงื่อนไข แล้วตรวจบันทึกหรือข้อมูลย้อนหลังตามความเสี่ยงจริง ระเบียน CVE ต้นทาง: https://www.cve.org/CVERecord?id=CVE-2026-118583, https://www.cve.org/CVERecord?id=CVE-2026-118584 และ https://www.cve.org/CVERecord?id=CVE-2026-118568