Drupal Core – Object Injection durch unsichere Deserialisierung

Beschreibung

In Drupal Core besteht eine Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten, die Object Injection ermöglicht. Betroffen sind Drupal Core 7.0 vor 7.102, 8.0.0 vor 10.2.11 sowie 10.3.0 vor 10.3.9. Der enthaltene Gadget-Chain stellt keine direkte Bedrohung dar, kann aber als Vektor für Remote Code Execution genutzt werden, wenn die Anwendung aufgrund einer weiteren Schwachstelle nicht vertrauenswürdige Daten deserialisiert. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Drupal

• Drupal Core: SQL Injection KEV CVE-2026-9082
• jQuery – Cross-Site Scripting (XSS) KEV CVE-2020-11023
• PEAR Archive_Tar Deserialization of Untrusted Data KEV CVE-2020-28949
• PEAR Archive_Tar – Improper Link Resolution Vulnerability KEV CVE-2020-36193
• Drupal Core: Remote Code Execution (Drupalgeddon 3) KEV CVE-2018-7602
• Drupal Core: Remote Code Execution KEV CVE-2019-6340