CVE-2026-1556
CVE-2026-1556 · Information disclosure via file URI overwrite in File (Field) Paths
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Information disclosure in the file URI processing of File (Field) Paths in Drupal File (Field) Paths 7.x prior to 7.1.3 on Drupal 7.x allows authenticated users to disclose other users’ private files via filename‑collision uploads. This can cause hook_node_insert() consumers (for example, email attachment modules) to receive the wrong file URI, bypassing normal access controls on private files.
CVSS 6.9 · Moyenne · EPSS 0,4% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system
Produits et versions concernés
drupal file (field) paths
- Versions du logiciel
- ≥ 7.x-1.0, < 7.x-1.3: Concernée (custom)
Mettez à jour vers 7.x-1.3
drupal7 Ubuntu:Pro:14.04:LTS
- Versions du logiciel
- 7.23-1
- 7.24-1
- 7.24-2
- 7.26-1
- 7.26-1ubuntu0.1
- 7.26-1ubuntu0.1+esm1
- 7.26-1ubuntu0.1+esm2
- 7.26-1ubuntu0.1+esm3
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
drupal7 Ubuntu:Pro:16.04:LTS
- Versions du logiciel
- 7.38-1
- 7.41-1
- 7.44-1ubuntu1~16.04.0
- 7.44-1ubuntu1~16.04.0+esm1
- 7.44-1ubuntu1~16.04.0+esm2
- 7.44-1ubuntu1~16.04.0+esm3
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié