Unsichere Deserialisierung in Drupal Core

Beschreibung

In Drupal Core besteht eine Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten, die Object Injection ermöglicht. Drupal Core enthält eine Kette von Methoden (sogenannte Gadget-Chain), die ausnutzbar ist, wenn auf der Website eine unsichere Deserialisierungsschwachstelle vorliegt. Diese Kette stellt für sich genommen keine direkte Bedrohung dar, kann aber in Verbindung mit einer anderen Schwachstelle zur Remotecodeausführung genutzt werden. Betroffen sind Drupal Core ab 8.0.0 vor 10.2.11, ab 10.3.0 vor 10.3.9 sowie ab 11.0.0 vor 11.0.8. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf 10.2.11, 10.3.9 beziehungsweise 11.0.8.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Drupal

• Drupal Core: SQL Injection KEV CVE-2026-9082
• jQuery – Cross-Site Scripting (XSS) KEV CVE-2020-11023
• PEAR Archive_Tar Deserialization of Untrusted Data KEV CVE-2020-28949
• PEAR Archive_Tar – Improper Link Resolution Vulnerability KEV CVE-2020-36193
• Drupal Core: Remote Code Execution (Drupalgeddon 3) KEV CVE-2018-7602
• Drupal Core: Remote Code Execution KEV CVE-2019-6340