Drupal Core contient une vulnérabilité d'exécution de code à distance qui pourrait permettre à un attaquant d'exploiter de multiples vecteurs d'attaque sur un site Drupal, entraînant un compromis complet du site.
Action requise :Appliquer les mises à jour selon les instructions de l'éditeur.
D’après la NVD et la GitHub Advisory Database. Vérifiez toujours l’avis de l’éditeur, qui fait foi.
Type de faiblesse
Validation d'entrée inappropriée (CWE-20) : Le produit reçoit des données d'entrée, mais ne valide pas ou valide incorrectement que ces données possèdent les propriétés requises pour les traiter de manière sûre et correcte.
Chronologie
— Publication de la CVE
— Exploitation confirmée : ajout au catalogue KEV de la CISA
— Échéance de correction pour les agences fédérales américaines
Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), GitHub Advisory Database (CC BY 4.0), CWE (MITRE). Données mises à jour automatiquement.
Texte original de la CISA (anglais)
Drupal Core Remote Code Execution Vulnerability
Drupal Core contains a remote code execution vulnerability that could allow an attacker to exploit multiple attack vectors on a Drupal site, resulting in complete site compromise.
Required action: Apply updates per vendor instructions.
Autres failles exploitées de Drupal Drupal Core
CVE-2020-13671 — Drupal core : téléversement de fichiers sans restriction (18 janvier 2022)