Drupal 未发布节点权限中的不正确的授权漏洞允许强制浏览。此问题影响未发布节点权限：从 0.0.0 到小于 1.7.0 的版本。

Drupal 中 'Unpublished Node Permissions' 模块的 CVE-2026-4933 漏洞引入了 '不正确的授权' 漏洞，导致 '强制浏览' (Forceful Browsing)。这意味着攻击者可以在没有适当授权的情况下访问未发布的节点（页面、文章等）。这些节点仅供特定用户（如编辑或管理员）在创建或审查过程中查看。授权失败会绕过这些限制，从而可能将敏感信息或正在进行中的信息暴露给未经授权的用户。CVSS 分数为 7.5 表明存在高风险，需要立即关注。此漏洞影响 1.7.0 之前的模块版本。影响可能因未发布节点的内容以及其中包含的信息的敏感性而异。为了减轻这种风险，更新模块至关重要。

Websites using Drupal 8.x with the Unpublished Node Permissions module installed and configured with overly permissive access controls are at significant risk. Sites with a large volume of unpublished content, or those handling sensitive information in drafts, are particularly vulnerable. Shared hosting environments where users have limited control over module versions are also at increased risk.

• drupal:

find /var/www/html/modules -name 'unpublish_node_permissions' -print

• drupal:

curl -I http://your-drupal-site.com/node/unpublished-node | grep 'HTTP/1.1 403' # Check for 403 Forbidden on unpublished nodes with proper access control

1. 2026-03-26Disclosure

   disclosure

1. 已保留2026-03-26
2. 发布日期2026-03-26
3. 修改日期2026-04-01
4. EPSS 更新日期2026-04-03

CVE-2026-4933 的主要缓解措施是将 'Unpublished Node Permissions' 模块更新到 1.7.0 或更高版本。此更新将修复允许 '强制浏览' 的授权缺陷。在更新之前，强烈建议对 Drupal 网站进行完整备份，包括数据库和网站文件。更新后，必须进行彻底的测试，以确保网站功能保持完整，并且漏洞已有效解决。此外，审查并加强 Drupal 中用户权限策略，以确保只有授权用户才能访问未发布的节点。定期监控服务器日志以查找可疑活动也是一种良好的安全实践。