CVE-2025-13083
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W Drupal core występuje podatność polegająca na wykorzystaniu pamięci podręcznej przeglądarki zawierającej poufne informacje z powodu błędnie skonfigurowanych poziomów kontroli dostępu. Dotyczy wersji od 8.0.0 przed 10.4.9, od 10.5.0 przed 10.5.6, od 11.0.0 przed 11.1.9, od 11.2.0 przed 11.2.8 oraz od 7.0 przed 7.103.
Ocena ryzyka
Poufne informacje mogą zostać ujawnione z pamięci podręcznej przeglądarki użytkownika, co może naruszyć poufność danych. Ryzyko dotyczy witryn Drupal z niewłaściwą konfiguracją kontroli dostępu.
Rekomendacja
Zaktualizuj Drupal core do wersji 10.4.9, 10.5.6, 11.1.9, 11.2.8 lub 7.103 (lub nowszych). Przejrzyj konfigurację kontroli dostępu i nagłówki cache.
Inne podatności w Drupal core
Zobacz wszystkie- CVE-2020-13671WysokieAktywnie exploitowane
Drupal core nie sanitizuje prawidłowo niektórych nazw plików podczas przesyłania, co może prowadzić do interpretacji plików jako o nieprawidłowym rozszerzeniu i serwowania ich jako zły typ MIME lub wykonania jako PHP w niektórych konfiguracjach hostingu. Problem dotyczy Drupal Core 9.0 przed 9.0.8, 8.9 przed 8.9.9, 8.8 przed 8.8.11 i 7 przed 7.74.
- CVE-2026-108515Niskie ryzyko· EPSS 9%
Rdzeń Drupala zawiera podatność Cross-Site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji od 8.9.0 do 10.6.19, od 11.0.0 do 11.3.19, od 11.4.0 do 11.4.10 oraz od 12.0.0-alpha1 do 12.0.0-beta2.
- CVE-2026-108514Niskie ryzyko· EPSS 9%
Rdzeń Drupala zawiera podatność Cross-Site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji od 10.3.0 do 10.6.19, od 11.0.0 do 11.3.19, od 11.4.0 do 11.4.10 oraz od 12.0.0-alpha1 do 12.0.0-beta2.
- CVE-2026-108097Niskie ryzyko· EPSS 26%
Rdzeń Drupala zawiera podatność Unsafe Reflection polegającą na użyciu danych wejściowych kontrolowanych zewnętrznie do wyboru klas lub kodu. Problem dotyczy wersji od 8.9.0 do 10.6.19, od 11.0.0 do 11.3.19, od 11.4.0 do 11.4.10 oraz od 12.0.0-alpha1 do 12.0.0-beta2.
- CVE-2026-55805Średnie
Drupal core ma podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji: od 0.0.0 do 10.6.13, od 11.3.0 do 11.3.14, od 11.4.0 do 11.4.4 oraz niektórych wersji 11.0.*, 11.1.*, 11.2.*.
- CVE-2026-15917Średnie
Podatność typu Cross-Site Scripting (XSS) w rdzeniu Drupal, wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji: od 11.3.0 do 11.3.14, od 11.4.0 do 11.4.4 oraz wszystkich wersji do 11.2.*.
- CVE-2026-15916Średnie
Brak autoryzacji w rdzeniu Drupal umożliwia wymuszone przeglądanie zasobów. Dotyczy wersji: do 10.6.13, od 11.3.0 do 11.3.14, od 11.4.0 do 11.4.4 oraz wszystkich wersji do 11.0.*, 11.1.* i 11.2.*.
- CVE-2026-55808Średnie
W Drupal Core wykryto podatność na ataki typu Cross-Site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy szerokiego zakresu wersji, od 0.0.0 do 10.5.12, 10.6.0-10.6.11, 11.2.0-11.2.14, 11.3.0-11.3.12 oraz wszystkich wersji 11.0.* i 11.1.*.
- CVE-2026-55807Niskie
Podatność SSRF w rdzeniu Drupala umożliwia atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów sieciowych. Problem dotyczy wielu wersji Drupala, w tym 10.5.x, 10.6.x, 11.2.x, 11.3.x oraz starszych gałęzi 11.0.x i 11.1.x.
- CVE-2026-55806Średnie
Podatność typu Open Redirect w rdzeniu Drupala umożliwia przekierowanie użytkownika na zaufaną stronę, co może prowadzić do fałszowania treści. Problem dotyczy wielu wersji Drupala, w tym 10.5.x, 10.6.x, 11.2.x, 11.3.x oraz starszych gałęzi 11.0.x i 11.1.x.
Oryginalny opis (angielski, źródło NVD)
Use of Web Browser Cache Containing Sensitive Information vulnerability in Drupal Drupal core allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Drupal core: from 8.0.0 before 10.4.9, from 10.5.0 before 10.5.6, from 11.0.0 before 11.1.9, from 11.2.0 before 11.2.8, from 7.0 before 7.103.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS