Object Injection durch unsichere Deserialisierung in Drupal Core

Beschreibung

In Drupal Core ermöglicht eine unsichere Deserialisierung nicht vertrauenswürdiger Daten eine Object Injection. Drupal Core enthält eine Methodenkette (Gadget Chain), die bei Vorliegen einer weiteren Deserialisierungslücke zur Remote Code Execution führen kann. Betroffen sind Versionen ab 8.0.0 vor 10.2.11, ab 10.3.0 vor 10.3.9 und ab 11.0.0 vor 11.0.8. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf Drupal Core 10.2.11, 10.3.9 bzw. 11.0.8 oder neuer aktualisieren.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Drupal

• Drupal Core: SQL Injection KEV CVE-2026-9082
• jQuery – Cross-Site Scripting (XSS) KEV CVE-2020-11023
• PEAR Archive_Tar Deserialization of Untrusted Data KEV CVE-2020-28949
• PEAR Archive_Tar – Improper Link Resolution Vulnerability KEV CVE-2020-36193
• Drupal Core: Remote Code Execution (Drupalgeddon 3) KEV CVE-2018-7602
• Drupal Core: Remote Code Execution KEV CVE-2019-6340