CVE-2026-110176 in File Force Download Extension
Zusammenfassung
von VulDB • 31.10.2026
Das File Force Download-Modul für Drupal 7 implementiert hook_file_download(), um einen Content-Disposition-Header hinzuzufügen, wenn eine Datei-URL den Query-Parameter download enthält. In Drupal 7 stellt die Rückgabe eines nicht-leeren Header-Arrays aus diesem Hook selbst ein Zugriffsrecht auf die Datei dar.
In den Versionen 7.1.0 bis 7.1.2 delegierte das Modul nur an die hook_file_download()-Implementierungen anderer Module, wenn sich die Datei im privaten Schema (private scheme) befand. Für jedes andere Schema gab es seine Header ohne jegliche Prüfung zurück. Ein nicht authentifizierter Besucher konnte, indem er download=1 an die URL einer Datei im temporary://-Schema oder in einem von einem anderen Modul bereitgestellten Stream Wrapper anhing, die Datei abrufen und damit die Zugriffsprüfungen umgehen, die andernfalls gegolten hätten. Dateien in den öffentlichen (public) und privaten (private) Schemata sind nicht betroffen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.