CVE-2026-6365
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Drupal core w wersjach od 8.0.0 do 10.5.9, 10.6.0 do 10.6.7, 11.0.0 do 11.2.11 oraz 11.3.0 do 11.3.7 zawiera podatność na Cross-Site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary, prowadząc do kradzieży sesji, defacementu lub kradzieży danych.
Rekomendacja
Zaktualizuj Drupal core do wersji 10.5.9, 10.6.7, 11.2.11 lub 11.3.7 w zależności od używanej gałęzi.
Inne podatności w Drupal core
Zobacz wszystkie- CVE-2020-13671WysokieAktywnie exploitowane
Drupal core nie sanitizuje prawidłowo niektórych nazw plików podczas przesyłania, co może prowadzić do interpretacji plików jako o nieprawidłowym rozszerzeniu i serwowania ich jako zły typ MIME lub wykonania jako PHP w niektórych konfiguracjach hostingu. Problem dotyczy Drupal Core 9.0 przed 9.0.8, 8.9 przed 8.9.9, 8.8 przed 8.8.11 i 7 przed 7.74.
- CVE-2026-55805Średnie
Drupal core ma podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji: od 0.0.0 do 10.6.13, od 11.3.0 do 11.3.14, od 11.4.0 do 11.4.4 oraz niektórych wersji 11.0.*, 11.1.*, 11.2.*.
- CVE-2026-15917Średnie
Podatność typu Cross-Site Scripting (XSS) w rdzeniu Drupal, wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji: od 11.3.0 do 11.3.14, od 11.4.0 do 11.4.4 oraz wszystkich wersji do 11.2.*.
- CVE-2026-15916Średnie
Brak autoryzacji w rdzeniu Drupal umożliwia wymuszone przeglądanie zasobów. Dotyczy wersji: do 10.6.13, od 11.3.0 do 11.3.14, od 11.4.0 do 11.4.4 oraz wszystkich wersji do 11.0.*, 11.1.* i 11.2.*.
- CVE-2026-55808Średnie
W Drupal Core wykryto podatność na ataki typu Cross-Site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy szerokiego zakresu wersji, od 0.0.0 do 10.5.12, 10.6.0-10.6.11, 11.2.0-11.2.14, 11.3.0-11.3.12 oraz wszystkich wersji 11.0.* i 11.1.*.
- CVE-2026-55807Niskie
Podatność SSRF w rdzeniu Drupala umożliwia atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów sieciowych. Problem dotyczy wielu wersji Drupala, w tym 10.5.x, 10.6.x, 11.2.x, 11.3.x oraz starszych gałęzi 11.0.x i 11.1.x.
- CVE-2026-55806Średnie
Podatność typu Open Redirect w rdzeniu Drupala umożliwia przekierowanie użytkownika na zaufaną stronę, co może prowadzić do fałszowania treści. Problem dotyczy wielu wersji Drupala, w tym 10.5.x, 10.6.x, 11.2.x, 11.3.x oraz starszych gałęzi 11.0.x i 11.1.x.
- CVE-2026-55804Średnie
Podatność w Drupal core umożliwia niekontrolowaną modyfikację dynamicznie określanych atrybutów obiektów, co prowadzi do wstrzykiwania obiektów. Problem dotyczy wielu wersji Drupal core, od 0.0.0 do 10.5.12, 10.6.0-10.6.11, 11.2.0-11.2.14, 11.3.0-11.3.12 oraz gałęzi 11.0.* i 11.1.*.
- CVE-2026-55803Średnie
Podatność w rdzeniu Drupala umożliwia niekontrolowaną modyfikację dynamicznie określanych atrybutów obiektów, co prowadzi do wstrzykiwania obiektów. Problem dotyczy wielu wersji Drupala, w tym 10.5.x, 10.6.x, 11.2.x, 11.3.x oraz starszych gałęzi 11.0.x i 11.1.x.
- CVE-2026-6367Średnie
Podatność na Cross-Site Scripting (XSS) w rdzeniu Drupala. Problem dotyczy wersji od 11.3.0 do 11.3.6.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal Drupal core allows Cross-Site Scripting (XSS). This issue affects Drupal core: from 8.0.0 before 10.5.9, from 10.6.0 before 10.6.7, from 11.0.0 before 11.2.11, from 11.3.0 before 11.3.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS