Suivi KEV › Drupal

CVE-2018-7602 Drupal Core : vulnérabilité d'exécution de code à distance

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 13 avril 2022.

  • Produit : Drupal Core
  • Ajoutée au catalogue : 13 avril 2022
  • Échéance CISA : 4 mai 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 99 %
  • Technologie : Drupal

Une vulnérabilité d'exécution de code à distance existe dans plusieurs sous-systèmes de Drupal qui peut permettre aux attaquants d'exploiter plusieurs vecteurs d'attaque sur un site Drupal.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 99,2 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • drupal : versions ≥ 7.0 et < 7.59
  • drupal : versions ≥ 8.4.0 et < 8.4.8
  • drupal : versions ≥ 8.5.0 et < 8.5.3
  • debian linux : 3 versions, de 7.0 à 9.0
  • drupal/core (composer) : vulnérable >= 7.0, < 7.59, corrigé en 7.59 — GHSA-297x-j9pm-xjgg
  • drupal/core (composer) : vulnérable >= 8.0, < 8.4.8, corrigé en 8.4.8 — GHSA-297x-j9pm-xjgg
  • drupal/core (composer) : vulnérable >= 8.5, < 8.5.3, corrigé en 8.5.3 — GHSA-297x-j9pm-xjgg
  • drupal/drupal (composer) : vulnérable >= 7.0, < 7.59, corrigé en 7.59 — GHSA-297x-j9pm-xjgg
  • drupal/drupal (composer) : vulnérable >= 8.0, < 8.4.8, corrigé en 8.4.8 — GHSA-297x-j9pm-xjgg
  • drupal/drupal (composer) : vulnérable >= 8.5, < 8.5.3, corrigé en 8.5.3 — GHSA-297x-j9pm-xjgg

D’après la NVD et la GitHub Advisory Database. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Génération de code non contrôlée (CWE-94) : Le produit construit tout ou partie d'un segment de code en utilisant une entrée influencée par un composant amont, mais il ne neutralise pas ou neutralise incorrectement les éléments spéciaux qui pourraient modifier la syntaxe ou le comportement du segment de code prévu.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), GitHub Advisory Database (CC BY 4.0), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Drupal Core Remote Code Execution Vulnerability

A remote code execution vulnerability exists within multiple subsystems of Drupal that can allow attackers to exploit multiple attack vectors on a Drupal site.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Drupal Core

  • CVE-2026-9082 — Drupal Core : vulnérabilité d'injection SQL (22 mai 2026)
  • CVE-2019-6340 — Drupal Core : vulnérabilité d'exécution de code à distance (25 mars 2022)

← Toutes les failles Drupal · Suivi KEV