免密登录模块的信息泄露公告只评中等，泄露的是哪一类内容
免密登录模块的信息泄露公告只评中等严重，泄露的到底是哪一类内容？答案只能到「信息泄露」这个类别为止：这条 Drupal 安全公告 SA-CONTRIB-2026-207 针对二次验证与免密登录模块，问题类别写作 Information disclosure，页面本身没有公开可利用的具体字段与利用细节。评级之所以落在中等一档，是几个维度合成的结果——机密性记为部分受影响、完整性记为零、不需要认证即可触发，但利用条件标注为理论。
公告字段逐项读法
| 字段 | 公告里的值 | 读法 |
|---|---|---|
| 问题类别 | Information disclosure | 只说明影响面在「被读到」，不在「被改掉」 |
| 评级与分值 | Moderately critical，12 比 25 | 中等关键，分值明显低于高危区间 |
| 攻击条件 | AC:Basic | 触发条件不苛刻，但也不是随手可达 |
| 所需权限 | A:None | 无需登录即可尝试，这是它不能忽略的原因 |
| 机密性 | CI:Some | 部分信息可被读到，而非全部 |
| 完整性 | II:None | 内容未被篡改、数据未被写入 |
| 利用成熟度 | E:Theoretical | 公告标注为理论层面，未公布可用利用方式 |
| 受影响版本 | 小于 5.4.1，以及 5.5.0 至 5.5.2 之间 | 两条分支都受影响 |
机密性有、完整性无意味着什么
这两个维度分别管「能不能读到不该读的」和「能不能改不该改的」。完整性记为零，说明问题不落在写入路径上；机密性记为部分，说明读到的范围有限，而不是整库可取。
对内容站的实际含义是：处置重点在「读」的收口——把不该对外可读的东西挡住，而不只是排查有没有被写入痕迹。同时，因为不需要认证就能尝试，登录与验证相关的模块本身就是被持续探测的目标面。
为什么评级是理论仍要跟
「理论」描述的是有没有公开的可用利用方式，不描述这个位置的暴露程度。免密登录与二次验证属于身份入口，这类模块的读取型问题一旦被人补出利用路径，影响会立刻升级。跟进顺序上它可以排在可远程执行代码的问题之后，但不应当作「评级中低就不动」处理。
公告给到处置方式是安装最新版本，受影响区间是两条分支——凡落在任一区间内都应升级，不能因为自己用的是另一条分支就判定无关。
受影响版本为什么要写成两段
一条产品线同时维护多个分支时，同一缺陷可能存在于两条分支的不同版本段。公告把区间写成两段，是在提示：修复并不连续，某个分支已经收口、另一条刚发补丁。判断自家站点是否受影响，要按实际部署的那条分支比对，而不是比对最高版本号。
站内登录与内容可见性的收口顺序
自有站点上，同类问题的处置可以从两个方向做。登录侧：AnQiCMS 内置 JWT 认证，并把防 SQL 注入与 XSS 攻击作为内置项，配套敏感词过滤与防采集干扰码。读这一层的意思是——身份凭据与注入防护是登录面的基线，第三方模块出问题不等于站内可以省掉这一层。
内容侧：文档状态分为正式文档、草稿、待发布与回收站四种，其中草稿的预览链接带预览参数才能访问。真正容易漏的是把未发布内容当成公开内容暴露：待发布与草稿状态的正文如果被公开接口或缓存读到，泄露的路径就不是登录模块，而是可见性配置。
因此收口顺序是先确认公开可读的范围（正式文档之外的三类是否都能被匿名读到），再确认身份入口（会话时长、验证方式、失败锁定），最后按版本区间把第三方模块的补丁补齐。
常见问题
问：公告没写具体泄露字段，能不能靠经验推断？ 答：不能。类别只到信息泄露为止，未公开细节时推断容易把处置方向带偏；要按类别对应的暴露面（读取路径）做通用收口，再等细节公开后收紧。
问：完整性记为零，是不是就不用查有没有被改过？ 答：仍要查，但优先级低于读取面。完整性为零描述的是这一条缺陷本身的能力范围，不代表站点没被其他手段动过。
问：不在受影响版本区间内是否可以完全跳过？ 答：可以跳过这一条，但要确认比对的是实际部署分支与版本号，且同模块后续公告没有被合并说明。