PT-2026-33241 · Drupal · Drupal
Benji Fisher
+12
·
Publicado
2026-04-15
·
Atualizado
2026-05-21
·
CVE-2026-6366
CVSS v2.0
10
Alta
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do Software Vulnerável e Versões Afetadas
Drupal core versões 8.0.0 até 10.5.8
Drupal core versões 10.6.0 até 10.6.6
Drupal core versões 11.0.0 até 11.2.10
Drupal core versões 11.3.0 até 11.3.6
Descrição
O Drupal core permite a Injeção de Objetos devido à modificação inadequadamente controlada de atributos de objetos determinados dinamicamente. Este problema envolve uma "gadget chain" (uma sequência de fragmentos de código existentes) que pode ser utilizada para alcançar a execução remota de código ou injeção de SQL se a aplicação desserializar dados não confiáveis através da função
unserialize() devido a outra vulnerabilidade. Este problema não é explorável diretamente por si só.Recomendações
Atualizar as versões 8.0.0 até 10.5.8 para 10.5.9.
Atualizar as versões 10.6.0 até 10.6.6 para 10.6.7.
Atualizar as versões 11.0.0 até 11.2.10 para 11.2.11.
Atualizar as versões 11.3.0 até 11.3.6 para 11.3.7.
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Drupal