ड्रूपल अप्रकाशित नोड अनुमतियों में गलत प्राधिकरण भेद्यता बलपूर्वक ब्राउज़िंग की अनुमति देती है। यह मुद्दा अप्रकाशित नोड अनुमतियों को प्रभावित करता है: 0.0.0 से पहले 1.7.0 तक।

Drupal में 'Unpublished Node Permissions' मॉड्यूल में CVE-2026-4933 भेद्यता 'अनुचित प्राधिकरण' का कारण बनती है, जिससे 'बलपूर्वक ब्राउज़िंग' (Forceful Browsing) हो सकती है। इसका मतलब है कि एक हमलावर उचित प्राधिकरण के बिना अप्रकाशित नोड्स (पृष्ठों, लेखों आदि) तक पहुंच सकता है। ये नोड्स केवल विशिष्ट उपयोगकर्ताओं (जैसे संपादकों या प्रशासकों) द्वारा निर्माण या समीक्षा प्रक्रिया के दौरान देखने के लिए अभिप्रेत हैं। प्राधिकरण की विफलता इन प्रतिबंधों को दरकिनार कर देती है, जिससे अनधिकृत उपयोगकर्ताओं को संवेदनशील जानकारी या विकास के अधीन जानकारी उजागर हो सकती है। CVSS स्कोर 7.5 एक उच्च जोखिम का संकेत देता है, जिसके लिए तत्काल ध्यान देने की आवश्यकता है। यह भेद्यता 1.7.0 से पहले के मॉड्यूल संस्करणों को प्रभावित करती है। प्रभाव अप्रकाशित नोड्स की सामग्री और उनमें निहित जानकारी की संवेदनशीलता के आधार पर भिन्न हो सकता है। इस जोखिम को कम करने के लिए मॉड्यूल को अपडेट करना महत्वपूर्ण है।

Websites using Drupal 8.x with the Unpublished Node Permissions module installed and configured with overly permissive access controls are at significant risk. Sites with a large volume of unpublished content, or those handling sensitive information in drafts, are particularly vulnerable. Shared hosting environments where users have limited control over module versions are also at increased risk.

• drupal:

find /var/www/html/modules -name 'unpublish_node_permissions' -print

• drupal:

curl -I http://your-drupal-site.com/node/unpublished-node | grep 'HTTP/1.1 403' # Check for 403 Forbidden on unpublished nodes with proper access control

1. 2026-03-26Disclosure

   disclosure

1. आरक्षित2026-03-26
2. प्रकाशित2026-03-26
3. संशोधित2026-04-01
4. EPSS अद्यतन2026-04-03

CVE-2026-4933 के लिए प्राथमिक शमन 'Unpublished Node Permissions' मॉड्यूल को संस्करण 1.7.0 या उच्चतर में अपडेट करना है। यह अपडेट 'बलपूर्वक ब्राउज़िंग' को सक्षम करने वाली प्राधिकरण त्रुटि को ठीक करता है। अपडेट करने से पहले, Drupal वेबसाइट का पूर्ण बैकअप लेने की दृढ़ता से अनुशंसा की जाती है, जिसमें डेटाबेस और वेबसाइट फ़ाइलें शामिल हैं। अपडेट के बाद, वेबसाइट की कार्यक्षमता बरकरार रहे और भेद्यता प्रभावी ढंग से हल हो जाए यह सुनिश्चित करने के लिए पूरी तरह से परीक्षण करना आवश्यक है। इसके अतिरिक्त, Drupal के भीतर उपयोगकर्ता अनुमति नीतियों की समीक्षा और मजबूत करें ताकि केवल अधिकृत उपयोगकर्ताओं को अप्रकाशित नोड्स तक पहुंच प्राप्त हो। सर्वर लॉग की नियमित रूप से निगरानी करके संदिग्ध गतिविधि का पता लगाना भी एक अच्छी सुरक्षा प्रथा है।