Aktywnie wykorzystywana w atakach
Drupal Core Remote Code Execution Vulnerability
Drupal - Drupal Core · Figuruje w katalogu CISA KEV od 2021-11-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2018-7600
KrytyczneCVSS 9.8KEVStreszczenie
Drupal w wersjach przed 7.58, 8.x przed 8.3.9, 8.4.x przed 8.4.6 i 8.5.x przed 8.5.1 pozwala zdalnym atakującym na wykonanie dowolnego kodu z powodu problemu wpływającego na wiele podsystemów z domyślnymi lub powszechnymi konfiguracjami modułów.
Ocena ryzyka
Podatność umożliwia zdalne wykonanie kodu bez uwierzytelnienia, co może prowadzić do pełnego przejęcia serwisu Drupal i naruszenia danych.
Rekomendacja
Natychmiast zaktualizuj Drupal do wersji 7.58, 8.3.9, 8.4.6, 8.5.1 lub nowszej. Sprawdź, czy nie doszło do nieautoryzowanego dostępu.
Inne podatności w Drupal
Zobacz wszystkie- CVE-2017-6919Wysokie
Drupal 8 w wersjach przed 8.2.8 oraz 8.3 przed 8.3.1 umożliwia krytyczne obejście dostępu przez uwierzytelnionych użytkowników, jeśli włączony jest moduł RESTful Web Services (rest) i strona zezwala na żądania PATCH.
- CVE-2017-6377Wysokie
W wersjach Drupal 8.2.x przed 8.2.7, podczas dodawania prywatnego pliku za pomocą edytora, nieprawidłowo sprawdzane są uprawnienia do dołączanego pliku, co prowadzi do obejścia zabezpieczeń.
- CVE-2016-9450Wysokie
Formularz resetowania hasła użytkownika w Drupal 8.x przed wersją 8.2.3 umożliwia zdalnym atakującym przeprowadzenie ataków na pamięć podręczną z powodu braku określenia poprawnego kontekstu pamięci podręcznej.
- CVE-2016-3171Wysokie
Drupal w wersji 6.x przed 6.38, używany z PHP w wersjach przed 5.4.45, 5.5.x przed 5.5.29 lub 5.6.x przed 5.6.13, może pozwolić zdalnym atakującym na wykonanie dowolnego kodu poprzez manipulację danymi sesji.
- CVE-2016-3165Wysokie
API formularzy w Drupal 6.x przed wersją 6.38 ignoruje ograniczenia dostępu dla przycisków submit, co może pozwolić zdalnym atakującym na obejście zamierzonych ograniczeń dostępu.
- CVE-2016-3164Wysokie
Drupal w wersjach 6.x przed 6.38, 7.x przed 7.43 oraz 8.x przed 8.0.4 może umożliwiać zdalnym atakującym przeprowadzenie ataków typu open redirect poprzez wykorzystanie (1) niestandardowego kodu lub (2) formularza wyświetlanego na stronie błędu 404, związanych z manipulacją ścieżkami.
- CVE-2026-9082KrytyczneAktywnie exploitowane
Podatność na iniekcję SQL w rdzeniu Drupala. Nieprawidłowe neutralizowanie specjalnych elementów w zapytaniach SQL umożliwia atakującemu wykonanie dowolnych poleceń SQL.
- CVE-2018-7602KrytyczneAktywnie exploitowane
Podatność zdalnego wykonania kodu w wielu podsystemach Drupal 7.x i 8.x. Umożliwia atakującym wykorzystanie wielu wektorów ataku, co może doprowadzić do przejęcia strony. Jest to krytyczna podatność w rdzeniu Drupal (SA-CORE-2018-002), aktywnie wykorzystywana w środowisku produkcyjnym.
- CVE-2026-8493Średnie
Moduł Colorbox Inline dla Drupala jest podatny na Cross-Site Scripting (XSS) we wszystkich wersjach przed 2.1.1. Podatność wynika z niewłaściwego neutralizowania danych wejściowych podczas generowania strony.
Oryginalny opis (angielski, źródło NVD)
Drupal before 7.58, 8.x before 8.3.9, 8.4.x before 8.4.6, and 8.5.x before 8.5.1 allows remote attackers to execute arbitrary code because of an issue affecting multiple subsystems with default or common module configurations.