Kritické zraniteľnosti CMS Drupal umožňujú vykonávať kód
Vývojári redakčného systému Drupal opravili dve kritické zraniteľnosti, ktoré môžu viesť k vzdialenému vykonaniu škodlivého kódu. V niektorých prípadoch nie je potrebná autentifikácia.
Zraniteľné systémy:
- Drupal Block AJAX, verzie staršie ako 3.0.2
- Drupal 8.9.0 až staršie ako 10.6.19
- Drupal 11.0.0 až staršie ako 11.3.19
- Drupal 11.4.0 až staršie ako 11.4.10
- Drupal 12.0.0-alpha1 až staršie ako 12.0.0-beta2
Opis činnosti:
CVE-2026-107249 (CVSS skóre 9,8)
Kritická zraniteľnosť sa nachádza v module Block AJAX redakčného systému Drupal. Súvisí s nevhodnou kontrolou používateľom dodávaných dát pre vytváranie blokov. Vzdialenému neprivilegovanému útočníkovi môže dovoliť injektovať PHP objekt a vzdialene vykonávať kód.
Zraniteľnosť zasahuje iba stránky s povoleným modulom Layout Builder, resp. iným zraniteľným modulom, ktorý spracúva dáta z modulu Block AJAX.
CVE-2026-108097
Kritická zraniteľnosť v module Field UI jadra Drupal vyplýva z využívania externe riadených vstupov na výber tried alebo kódu. Pri využití zraniteľných rozširujúcich modulov alebo vlastného kódu umožňuje vzdialené vykonanie kódu, v niektorých prípadoch aj bez autentifikácie.
Možné škody:
- Vzdialené vykonávanie kódu
Odporúčania:
Bezodkladná aktualizácia jadra Drupal aspoň na verzie 10.6.19, 11.3.19, 11.4.10 alebo 12.0.0-beta2 a modul Block AJAX na verziu 3.0.2.
Odkazy: