Aktywnie wykorzystywana w atakach
Drupal core Un-restricted Upload of File
Drupal - Drupal core · Figuruje w katalogu CISA KEV od 2022-01-18. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2020-13671
WysokieCVSS 8.8KEVStreszczenie
Drupal core nie sanitizuje prawidłowo niektórych nazw plików podczas przesyłania, co może prowadzić do interpretacji plików jako o nieprawidłowym rozszerzeniu i serwowania ich jako zły typ MIME lub wykonania jako PHP w niektórych konfiguracjach hostingu. Problem dotyczy Drupal Core 9.0 przed 9.0.8, 8.9 przed 8.9.9, 8.8 przed 8.8.11 i 7 przed 7.74.
Ocena ryzyka
Atakujący może przesłać złośliwy plik, który zostanie wykonany jako PHP, co może prowadzić do zdalnego wykonania kodu i przejęcia kontroli nad witryną. Wymaga to jednak możliwości przesyłania plików.
Rekomendacja
Należy zaktualizować Drupal core do wersji 9.0.8, 8.9.9, 8.8.11 lub 7.74 (lub nowszych). Zaleca się również weryfikację konfiguracji serwera pod kątem wykonywania plików PHP.
Inne podatności w Drupal Core
Zobacz wszystkie- CVE-2026-55805Średnie
Drupal core ma podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji: od 0.0.0 do 10.6.13, od 11.3.0 do 11.3.14, od 11.4.0 do 11.4.4 oraz niektórych wersji 11.0.*, 11.1.*, 11.2.*.
- CVE-2026-15917Średnie
Podatność typu Cross-Site Scripting (XSS) w rdzeniu Drupal, wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji: od 11.3.0 do 11.3.14, od 11.4.0 do 11.4.4 oraz wszystkich wersji do 11.2.*.
- CVE-2026-15916Średnie
Brak autoryzacji w rdzeniu Drupal umożliwia wymuszone przeglądanie zasobów. Dotyczy wersji: do 10.6.13, od 11.3.0 do 11.3.14, od 11.4.0 do 11.4.4 oraz wszystkich wersji do 11.0.*, 11.1.* i 11.2.*.
- CVE-2026-55808Średnie
W Drupal Core wykryto podatność na ataki typu Cross-Site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy szerokiego zakresu wersji, od 0.0.0 do 10.5.12, 10.6.0-10.6.11, 11.2.0-11.2.14, 11.3.0-11.3.12 oraz wszystkich wersji 11.0.* i 11.1.*.
- CVE-2026-55807Niskie
Podatność SSRF w rdzeniu Drupala umożliwia atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów sieciowych. Problem dotyczy wielu wersji Drupala, w tym 10.5.x, 10.6.x, 11.2.x, 11.3.x oraz starszych gałęzi 11.0.x i 11.1.x.
- CVE-2026-55806Średnie
Podatność typu Open Redirect w rdzeniu Drupala umożliwia przekierowanie użytkownika na zaufaną stronę, co może prowadzić do fałszowania treści. Problem dotyczy wielu wersji Drupala, w tym 10.5.x, 10.6.x, 11.2.x, 11.3.x oraz starszych gałęzi 11.0.x i 11.1.x.
- CVE-2026-55804Średnie
Podatność w Drupal core umożliwia niekontrolowaną modyfikację dynamicznie określanych atrybutów obiektów, co prowadzi do wstrzykiwania obiektów. Problem dotyczy wielu wersji Drupal core, od 0.0.0 do 10.5.12, 10.6.0-10.6.11, 11.2.0-11.2.14, 11.3.0-11.3.12 oraz gałęzi 11.0.* i 11.1.*.
- CVE-2026-55803Średnie
Podatność w rdzeniu Drupala umożliwia niekontrolowaną modyfikację dynamicznie określanych atrybutów obiektów, co prowadzi do wstrzykiwania obiektów. Problem dotyczy wielu wersji Drupala, w tym 10.5.x, 10.6.x, 11.2.x, 11.3.x oraz starszych gałęzi 11.0.x i 11.1.x.
- CVE-2026-6367Średnie
Podatność na Cross-Site Scripting (XSS) w rdzeniu Drupala. Problem dotyczy wersji od 11.3.0 do 11.3.6.
- CVE-2026-6366Średnie
Podatność w rdzeniu Drupal polegająca na nieprawidłowo kontrolowanej modyfikacji dynamicznie określonych atrybutów obiektów, co umożliwia wstrzykiwanie obiektów. Dotyczy wersji od 8.0.0 przed 10.5.9, od 10.6.0 przed 10.6.7, od 11.0.0 przed 11.2.11 oraz od 11.3.0 przed 11.3.7.
Oryginalny opis (angielski, źródło NVD)
Drupal core does not properly sanitize certain filenames on uploaded files, which can lead to files being interpreted as the incorrect extension and served as the wrong MIME type or executed as PHP for certain hosting configurations. This issue affects: Drupal Drupal Core 9.0 versions prior to 9.0.8, 8.9 versions prior to 8.9.9, 8.8 versions prior to 8.8.11, and 7 versions prior to 7.74.