CVE-2026-8493
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Moduł Colorbox Inline dla Drupala jest podatny na Cross-Site Scripting (XSS) we wszystkich wersjach przed 2.1.1. Podatność wynika z niewłaściwego neutralizowania danych wejściowych podczas generowania strony.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub innych szkodliwych działań.
Rekomendacja
Zaktualizuj moduł Colorbox Inline do wersji 2.1.1 lub nowszej.
Inne podatności w Drupal
Zobacz wszystkie- CVE-2017-6919Wysokie
Drupal 8 w wersjach przed 8.2.8 oraz 8.3 przed 8.3.1 umożliwia krytyczne obejście dostępu przez uwierzytelnionych użytkowników, jeśli włączony jest moduł RESTful Web Services (rest) i strona zezwala na żądania PATCH.
- CVE-2017-6377Wysokie
W wersjach Drupal 8.2.x przed 8.2.7, podczas dodawania prywatnego pliku za pomocą edytora, nieprawidłowo sprawdzane są uprawnienia do dołączanego pliku, co prowadzi do obejścia zabezpieczeń.
- CVE-2016-9450Wysokie
Formularz resetowania hasła użytkownika w Drupal 8.x przed wersją 8.2.3 umożliwia zdalnym atakującym przeprowadzenie ataków na pamięć podręczną z powodu braku określenia poprawnego kontekstu pamięci podręcznej.
- CVE-2016-3171Wysokie
Drupal w wersji 6.x przed 6.38, używany z PHP w wersjach przed 5.4.45, 5.5.x przed 5.5.29 lub 5.6.x przed 5.6.13, może pozwolić zdalnym atakującym na wykonanie dowolnego kodu poprzez manipulację danymi sesji.
- CVE-2016-3165Wysokie
API formularzy w Drupal 6.x przed wersją 6.38 ignoruje ograniczenia dostępu dla przycisków submit, co może pozwolić zdalnym atakującym na obejście zamierzonych ograniczeń dostępu.
- CVE-2016-3164Wysokie
Drupal w wersjach 6.x przed 6.38, 7.x przed 7.43 oraz 8.x przed 8.0.4 może umożliwiać zdalnym atakującym przeprowadzenie ataków typu open redirect poprzez wykorzystanie (1) niestandardowego kodu lub (2) formularza wyświetlanego na stronie błędu 404, związanych z manipulacją ścieżkami.
- CVE-2026-9082KrytyczneAktywnie exploitowane
Podatność na iniekcję SQL w rdzeniu Drupala. Nieprawidłowe neutralizowanie specjalnych elementów w zapytaniach SQL umożliwia atakującemu wykonanie dowolnych poleceń SQL.
- CVE-2019-6340WysokieAktywnie exploitowane
Niektóre typy pól nieprawidłowo sanityzują dane z nie-formularzowych źródeł w Drupal 8.5.x przed 8.5.11 i Drupal 8.6.x przed 8.6.10. Może to prowadzić do wykonania dowolnego kodu PHP w niektórych przypadkach. Witryna jest dotknięta tylko wtedy, gdy spełniony jest jeden z warunków: moduł RESTful Web Services (rest) jest włączony i pozwala na żądania PATCH lub POST, lub inny moduł usług webowych jest włączony, jak JSON:API w Drupal 8, lub Services lub RESTful Web Services w Drupal 7.
- CVE-2018-7602KrytyczneAktywnie exploitowane
Podatność zdalnego wykonania kodu w wielu podsystemach Drupal 7.x i 8.x. Umożliwia atakującym wykorzystanie wielu wektorów ataku, co może doprowadzić do przejęcia strony. Jest to krytyczna podatność w rdzeniu Drupal (SA-CORE-2018-002), aktywnie wykorzystywana w środowisku produkcyjnym.
- CVE-2018-7600KrytyczneAktywnie exploitowane
Drupal w wersjach przed 7.58, 8.x przed 8.3.9, 8.4.x przed 8.4.6 i 8.5.x przed 8.5.1 pozwala zdalnym atakującym na wykonanie dowolnego kodu z powodu problemu wpływającego na wiele podsystemów z domyślnymi lub powszechnymi konfiguracjami modułów.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal Colorbox Inline allows Cross-Site Scripting (XSS). This issue affects Colorbox Inline: from 0.0.0 before 2.1.1.