CVE-2026-55806
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Podatność typu Open Redirect w rdzeniu Drupala umożliwia przekierowanie użytkownika na zaufaną stronę, co może prowadzić do fałszowania treści. Problem dotyczy wielu wersji Drupala, w tym 10.5.x, 10.6.x, 11.2.x, 11.3.x oraz starszych gałęzi 11.0.x i 11.1.x.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przekierowania użytkowników na złośliwe strony, podszywając się pod legalną witrynę, co zwiększa ryzyko kradzieży danych lub infekcji złośliwym oprogramowaniem.
Rekomendacja
Należy niezwłocznie zaktualizować Drupal core do najnowszej dostępnej wersji łatki, która usuwa tę podatność. W międzyczasie warto rozważyć zastosowanie tymczasowych reguł WAF blokujących podejrzane przekierowania.
Inne podatności w Drupal core
Zobacz wszystkie- CVE-2026-55805Średnie
Drupal core ma podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji: od 0.0.0 do 10.6.13, od 11.3.0 do 11.3.14, od 11.4.0 do 11.4.4 oraz niektórych wersji 11.0.*, 11.1.*, 11.2.*.
- CVE-2026-15917Średnie
Podatność typu Cross-Site Scripting (XSS) w rdzeniu Drupal, wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji: od 11.3.0 do 11.3.14, od 11.4.0 do 11.4.4 oraz wszystkich wersji do 11.2.*.
- CVE-2026-15916Średnie
Brak autoryzacji w rdzeniu Drupal umożliwia wymuszone przeglądanie zasobów. Dotyczy wersji: do 10.6.13, od 11.3.0 do 11.3.14, od 11.4.0 do 11.4.4 oraz wszystkich wersji do 11.0.*, 11.1.* i 11.2.*.
- CVE-2026-55808Średnie
W Drupal Core wykryto podatność na ataki typu Cross-Site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy szerokiego zakresu wersji, od 0.0.0 do 10.5.12, 10.6.0-10.6.11, 11.2.0-11.2.14, 11.3.0-11.3.12 oraz wszystkich wersji 11.0.* i 11.1.*.
- CVE-2026-55807Niskie
Podatność SSRF w rdzeniu Drupala umożliwia atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów sieciowych. Problem dotyczy wielu wersji Drupala, w tym 10.5.x, 10.6.x, 11.2.x, 11.3.x oraz starszych gałęzi 11.0.x i 11.1.x.
- CVE-2026-55804Średnie
Podatność w Drupal core umożliwia niekontrolowaną modyfikację dynamicznie określanych atrybutów obiektów, co prowadzi do wstrzykiwania obiektów. Problem dotyczy wielu wersji Drupal core, od 0.0.0 do 10.5.12, 10.6.0-10.6.11, 11.2.0-11.2.14, 11.3.0-11.3.12 oraz gałęzi 11.0.* i 11.1.*.
- CVE-2026-55803Średnie
Podatność w rdzeniu Drupala umożliwia niekontrolowaną modyfikację dynamicznie określanych atrybutów obiektów, co prowadzi do wstrzykiwania obiektów. Problem dotyczy wielu wersji Drupala, w tym 10.5.x, 10.6.x, 11.2.x, 11.3.x oraz starszych gałęzi 11.0.x i 11.1.x.
- CVE-2026-6367Średnie
Podatność na Cross-Site Scripting (XSS) w rdzeniu Drupala. Problem dotyczy wersji od 11.3.0 do 11.3.6.
- CVE-2026-6366Średnie
Podatność w rdzeniu Drupal polegająca na nieprawidłowo kontrolowanej modyfikacji dynamicznie określonych atrybutów obiektów, co umożliwia wstrzykiwanie obiektów. Dotyczy wersji od 8.0.0 przed 10.5.9, od 10.6.0 przed 10.6.7, od 11.0.0 przed 11.2.11 oraz od 11.3.0 przed 11.3.7.
- CVE-2026-6365Średnie
Drupal core w wersjach od 8.0.0 do 10.5.9, 10.6.0 do 10.6.7, 11.0.0 do 11.2.11 oraz 11.3.0 do 11.3.7 zawiera podatność na Cross-Site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony.
Oryginalny opis (angielski, źródło NVD)
URL Redirection to Untrusted Site ('Open Redirect') vulnerability in Drupal Drupal core allows Content Spoofing. This issue affects Drupal core versions: from 0.0.0 to 10.5.12, from 10.6.0 to 10.6.11, from 11.2.0 to 11.2.14, from 11.3.0 to 11.3.12, from 0.0.0 to 11.0.*, from 0.0.0 to 11.1.*.