CVE-2026-3525Drupal File Access Fix模块存在不正确的授权漏洞，该模块已弃用。由于授权验证逻辑存在缺陷，攻击者无需认证即可利用强制浏览技术访问受保护的文件资源。此漏洞影响了从0.0.0开始到1.2.0之前的所有版本，可能导致敏感信息泄露，对系统机密性造成低程度影响。建议用户尽快升级至安全版本以修复此问题。
该漏洞的根源在于Drupal File Access Fix模块在处理文件访问请求时，未能正确实施访问控制检查。通常，Drupal的文件系统需要严格的权限验证以防止未授权访问私有文件。然而，该模块在引入修复逻辑时存在缺陷，未能覆盖所有可能的访问场景。攻击者可以利用这一疏忽，通过强制浏览技术，直接发送HTTP GET请求访问本应受到保护的文件路径（如sites/default/files/private/目录下的文件）。由于漏洞CVSS向量显示PR:N（无需权限）和UI:N（无需交互），攻击者无需登录即可远程利用此漏洞。成功利用后，攻击者可以下载敏感配置信息或用户数据，造成信息泄露。这种攻击方式隐蔽且无需复杂载荷，危害较大。