Drupal LocalGov Workflows: Fehlende Autorisierung erlaubt Forceful Browsing

Beschreibung

Im Drupal-Modul LocalGov Workflows besteht eine Schwachstelle durch fehlende Autorisierung (Missing Authorization), die es Angreifern per Forceful Browsing erlaubt, auf eigentlich geschützte Ressourcen zuzugreifen. Betroffen sind die Versionen 0.0.0 bis einschliesslich 1.6.0. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

Changelog

1. 2026-07-14 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Drupal

• Drupal Core: SQL Injection KEV CVE-2026-9082
• Drupal Core: Remote Code Execution (Drupalgeddon 3) KEV CVE-2018-7602
• Drupal Core: Remote Code Execution KEV CVE-2019-6340
• Drupal Core: Unrestricted File Upload KEV CVE-2020-13671
• Drupal Core: Remote Code Execution (Drupalgeddon 2) KEV CVE-2018-7600
• Drupal-Modul „Mother May I": Schwachstelle in allen Versionen CVE-2026-11913