CVE-2026-8492Drupal的Translate Drupal with GTranslate模块被发现存在一处安全漏洞，被归类为修改不可变数据（MAID）漏洞。该问题允许攻击者进行资源位置欺骗，具体影响范围涵盖了从0.0.0版本开始直到3.0.5之前的所有发行版本。由于模块在处理某些关键配置数据时缺乏足够的完整性校验，拥有高权限的攻击者可以篡改这些本应固定的数据。尽管利用门槛较高（需要高权限），但成功利用后可能导致系统加载非预期的资源，从而对系统的完整性构成一定威胁。建议用户及时关注官方安全公告并采取补救措施。
该漏洞的根本原因在于应用程序未能严格区分和保护那些在运行期间不应被修改的“不可变数据”。在Translate Drupal with GTranslate模块的实现逻辑中，用于定位外部翻译资源的URL或路径参数在初始化后被系统默认为可信且固定。然而，由于缺乏针对高权限用户操作的有效二次验证或输入锁定机制，攻击者一旦获得管理员权限，便可以通过构造特定的HTTP POST请求，向模块的配置接口提交精心设计的Payload。具体利用方式是修改指向翻译服务的资源位置参数。当系统更新配置后，原本指向合法GTranslate服务的请求会被重定向至攻击者指定的恶意地址（如钓鱼网站或恶意脚本托管服务器）。虽然CVSS评分显示该漏洞对机密性和可用性无直接影响，且需要高权限才能触发，但其对完整性的破坏可能导致用户被引导至恶意内容，破坏了系统的信任链。