File Force Download für Drupal 7: Umgehung der Zugriffskontrolle
Zusammenfassung
Das Modul File Force Download für Drupal 7 in den Versionen 7.1.0 bis 7.1.2 liefert Download-Header für Dateien im temporary:// Schema und für Dateien aus Stream-Wrappern anderer Module aus, ohne die Zugriffsrechte zu prüfen. Ein nicht angemeldeter Besucher kann solche Dateien abrufen, indem er download=1 an die Datei-URL anhängt, und so die Zugriffsprüfungen umgehen, die sonst gelten würden. Dateien in den Schemas public und private sind nicht betroffen. Der CVSS-4.0-Basiswert beträgt 8.7 (High), und die Auswirkung beschränkt sich auf die Vertraulichkeit.
Betroffen
- File Force Download für Drupal 7, Versionen 7.1.0 bis 7.1.2
- Nur Websites mit Dateien im temporary:// Schema oder in Stream-Wrappern anderer Module sind ausnutzbar
- Standardkonfiguration: nicht betroffen (gemäss CNA-Eintrag)
Behoben in
- File Force Download 7.1.3 (gemäss HeroDevs und OffSeq)
- Zudem als File Force Download NES 7.1.3 bei HeroDevs erhältlich (kommerzieller Never-Ending Support)
- Unbekannt: ob 7.1.3 aktuell auf drupal.org veröffentlicht ist
Umgehung
- Modul File Force Download deaktivieren, bis die Korrektur eingespielt ist
- Keine sensiblen Dateien im temporary:// Schema oder in Stream-Wrappern von Zusatzmodulen ablegen
- Anonyme Anfragen an /system/temporary mit einem download-Parameter auf dem Webserver oder am WAF blockieren
Ausnutzung
- Gemäss OffSeq nicht als aktiv ausgenutzt bekannt (KEV: No)
- VulDB meldet keinen öffentlichen Exploit verfügbar; in der Recherche wurde kein öffentlicher Proof of Concept gefunden
- Gemeldet von Positive Technologies (PT-2026-134258)
Unsere Empfehlung
- Prüfen, ob das Modul File Force Download auf Drupal-7-Websites installiert ist und welche Version läuft
- Bei Version 7.1.0 bis 7.1.2 das Modul deaktivieren oder nach Bestätigung der Veröffentlichung auf 7.1.3 aktualisieren
- Falls das Patchen verzögert wird, die WAF-Regel anwenden und die Webserver-Logs auf anonyme Anfragen mit download-Parameter prüfen
- Sensible Dateien aus dem temporary:// Schema fernhalten
- Die Migration weg von Drupal 7, das end-of-life ist, planen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Tag1 D7ES security advisory d7es.tag1.com
- HeroDevs vulnerability directory www.herodevs.com
- drupal.org project: File Force Download www.drupal.org
- VulDB entry 429455 vuldb.com
- Positive Technologies PT-2026-134258 vulners.com
- Strix CVE summary www.strix.ai
- OffSeq threat radar entry radar.offseq.com
- CVE record mirror (threatint) cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:14.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.