Drupal · Core
CVE-2026-9082
Drupal core - Highly critical - SQL injection - SA-CORE-2026-004
چیست
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Drupal Drupal core allows SQL Injection.
This issue affects Drupal core: from 8.9.0 before 10.4.10, from 10.5.0 before 10.5.10, from 10.6.0 before 10.6.9, from 11.0.0 before 11.1.10, from 11.2.0 before 11.2.12, from 11.3.0 before 11.3.10.
CISA: Drupal Core contains a SQL injection vulnerability that could allow for privilege escalation and remote code execution via specially crafted requests sent with the database abstraction API.
چه باید کرد
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
مهلت برای نهادهای فدرال آمریکا: ۲۷ مهٔ ۲۰۲۶
- افزوده‌شده به فهرست CISA
- ۲۲ مهٔ ۲۰۲۶
- منتشرشده
- ۲۰ مهٔ ۲۰۲۶
- شدت
- بحرانی ۹٫۸ CVSS 3.1
- احتمال حمله در ۳۰ روز آینده (EPSS)
- ۸۹% در ۰٫۲% بالای همهٔ آسیب‌پذیری‌های شناخته‌شده
- نوع ضعف
- CWE-89
- جزئیات بیشتر
- NVD · CVE.org · CISA
همهٔ منابع (1)
آسیب‌پذیری‌های دیگر Drupal که مورد سوءاستفاده‌اند
| افزوده‌شده | آسیب‌پذیری | محصول | شدت | احتمال حمله |
|---|---|---|---|---|
| ۱۳ آوریل ۲۰۲۲ | Remote Code Execution | Core | بالا ۸٫۱ | ۹۹٫۲% |
| ۲۵ مارس ۲۰۲۲ | Remote Code Execution | Core | بالا ۸٫۱ | ۹۲% |
| ۱۸ ژانویه ۲۰۲۲ | core Un-restricted Upload of File | Drupal core | بالا ۸٫۸ | ۳۶% |
| ۳ نوامبر ۲۰۲۱ | Core Remote Code Execution | Drupal Core | بحرانی ۹٫۸ | >۹۹٫۹% |
منابع: Known Exploited Vulnerabilities (CISA، مالکیت عمومی)، CVE records (cve.org) و EPSS (FIRST). احتمال حمله برآورد EPSS از این است که کسی در ۳۰ روز آینده برای سوءاستفاده از این آسیب‌پذیری تلاش کند.