В Drupal при использовании мультисайтовой конфигурации (sites/sites.php) существует скрытая особенность: если домен не найден в $sites, Drupal по умолчанию загружает настройки из sites/default. Это может привести к неожиданным проблемам:
- Открытие сайта по IP-адресу;
- Подмена домена в
Host-заголовке (в том числе в атакующих целях); - Доступ к сайту в неподходящем контексте (на продакшене с тестовым доменом и т.д.);
- Использование кеша с абсолютными ссылками с «чужого домена»;
- и т.д.
К счастью, поведение легко изменить.
Читать далее »
