Критическая уязвимость в Drupal SAML SSO - Service Provider (CVE-2026-87943)
В модуле SAML SSO - Service Provider для Drupal выявлена критическая уязвимость, связанная с отсутствием авторизации и позволяющая обходить контроль доступа. Проблема затрагивает все версии от 0.0.0 до 3.2.0. Уязвимости присвоен высокий уровень критичности.
Подробности
Уязвимость классифицирована как Missing Authorization (отсутствие проверки авторизации), что позволяет реализовать атаку типа Forceful Browsing — принудительный переход к ресурсам, доступ к которым должен быть ограничен. Иными словами, злоумышленник может обращаться к защищённым разделам приложения напрямую, минуя механизмы контроля доступа. Уязвимости подвержены все версии модуля SAML SSO - Service Provider в диапазоне от 0.0.0 до 3.2.0 включительно. Поскольку модуль отвечает за аутентификацию и авторизацию пользователей через SAML, эксплуатация проблемы может привести к несанкционированному доступу к функциональности и данным сайта. Точная оценка CVSS в записи CVE не приведена, однако статус Critical указывает на максимальную серьёзность проблемы.Что делать
В первую очередь необходимо проверить, используется ли на вашем сайте модуль SAML SSO - Service Provider, и определить его текущую версию. Если установлена версия из уязвимого диапазона (0.0.0–3.2.0), следует как можно быстрее обновить модуль до актуальной версии, в которой проблема устранена, — рекомендация опубликована в SA-CONTRIB-2026-141. До установки обновления целесообразно применить компенсирующие меры: ограничить доступ к административным и защищённым разделам сайта на уровне веб-сервера или WAF, усилить мониторинг подозрительных запросов к закрытым маршрутам, а также проверить журналы на предмет попыток обращения к ресурсам в обход авторизации. Если модуль не используется, рекомендуется его отключить и удалить.Итог
CVE-2026-87943 — критическая уязвимость отсутствия авторизации в модуле SAML SSO - Service Provider для Drupal, допускающая обход контроля доступа через Forceful Browsing. Всем организациям, использующим этот модуль версий до 3.2.0 включительно, необходимо оперативно обновить компонент и проверить конфигурацию доступа к защищённым разделам сайта.Источник: CVE Project (cvelistV5)