In de Drupal 7 Internationalization (i18n) module, staat de i18n_node submodule een gebruiker met zowel "Content vertalen" als "Content vertalingen beheren" permissies toe om ongepubliceerde nodes te bekijken en te koppelen via de vertaal-UI en de autocomplete widget. Dit omzeilt bedoelde toegangscontroles en onthult ongepubliceerde node titels en ID's. Exploit heeft invloed op versies 7.x-1.0 tot en met 7.x-1.35.

CVE-2026-0748 in de Internationalisatie (i18n) module van Drupal 7 stelt gebruikers met zowel de permissies 'Content vertalen' als 'Content vertalingen beheren' in staat om ongepubliceerde nodes te bekijken en te koppelen via de vertaal-UI en de autocomplete widget. Dit omzeilt de beoogde toegangscontroles en onthult ongepubliceerde node titels en ID's. Deze kwetsbaarheid vormt een aanzienlijk risico voor Drupal 7 sites, met name diegenen die gevoelige of vertrouwelijke informatie verwerken voordat deze gepubliceerd wordt. De mogelijkheid om toegang te krijgen tot ongepubliceerde content kan leiden tot datalekken en de integriteit van de site in gevaar brengen. De relatief veelvoorkomende aard van de vereiste permissies vergroot de kans op uitbuiting. De blootstelling van node ID's kan verdere aanvallen op andere componenten van de site vergemakkelijken. Het ontbreken van een directe fix (fix: none) vereist onmiddellijke mitigatie-inspanningen om kwetsbare sites te beschermen.

Websites running Drupal 7 with the Internationalization (i18n) module installed are at risk. Specifically, sites where users have been granted both "Translate content" and "Administer content translations" permissions are particularly vulnerable, even if those users are not typically involved in content creation.

• wordpress / composer / npm:

grep -r "i18n_node_autocomplete" /var/www/drupal7/

• generic web:

curl -I http://your-drupal-site.com/admin/config/regional/i18n-node

• generic web: Check Drupal logs for unusual activity related to node translations or access attempts by users with 'Translate content' and 'Administer content translations' permissions.

1. 2026-03-26Disclosure

   disclosure

1. Gereserveerd2026-01-08
2. Gepubliceerd2026-03-26
3. Gewijzigd2026-04-01
4. EPSS bijgewerkt2026-04-03

Gezien het ontbreken van een officiële fix (fix: none), vereist het verzachten van CVE-2026-0748 een zorgvuldige aanpak. De belangrijkste aanbeveling is om de permissies 'Content vertalen' en 'Content vertalingen beheren' strikt te beperken tot het absolute minimum dat vereist is. Voer een grondige permissie-audit uit om verkeerde configuraties te identificeren en te corrigeren. Overweeg om de i18n module uit te schakelen als deze niet essentieel is voor de functionaliteit van de site. Controleer de site logs actief op verdachte activiteiten met betrekking tot de vertaal-interface. Het toepassen van het principe van minimale privileges is de beste beschikbare verdediging totdat een alternatieve oplossing wordt gevonden. Een upgrade naar een nieuwere versie van Drupal (buiten 7.x) is de veiligste langetermijnoplossing, maar vereist een zorgvuldige planning en uitvoering.