← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités Drupal activement exploitées (KEV)

Les 5 vulnérabilités Drupal dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne, dont 2 utilisées par des rançongiciels. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2026-9082 — Drupal Core : vulnérabilité d'injection SQL Critique

  • Produit : Drupal Core
  • Ajoutée au catalogue : 22 mai 2026
  • Échéance CISA : 27 mai 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-89
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 89 %
  • Technologie : Drupal

Drupal Core contient une vulnérabilité d'injection SQL qui pourrait permettre une élévation de privilèges et une exécution de code à distance via des requêtes spécialement élaborées envoyées avec l'api d'abstraction de base de données.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · drupal.org

Fiche détaillée : versions, références, chronologie →

CVE-2018-7602 — Drupal Core : vulnérabilité d'exécution de code à distance Critique

  • Produit : Drupal Core
  • Ajoutée au catalogue : 13 avril 2022
  • Échéance CISA : 4 mai 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 99 %
  • Technologie : Drupal

Une vulnérabilité d'exécution de code à distance existe dans plusieurs sous-systèmes de Drupal qui peut permettre aux attaquants d'exploiter plusieurs vecteurs d'attaque sur un site Drupal.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2019-6340 — Drupal Core : vulnérabilité d'exécution de code à distance

  • Produit : Drupal Core
  • Ajoutée au catalogue : 25 mars 2022
  • Échéance CISA : 15 avril 2022
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-502
  • Gravité : CVSS 8,1 (élevée)
  • Probabilité d’exploitation (EPSS) : 92 %
  • Technologie : Drupal

Dans Drupal Core, certains types de champs ne désinfectent pas correctement les données provenant de sources autres que les formulaires. Cela peut entraîner l'exécution de code PHP arbitraire dans certains cas.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2020-13671 — Drupal core : téléversement de fichiers sans restriction

  • Produit : Drupal Drupal core
  • Ajoutée au catalogue : 18 janvier 2022
  • Échéance CISA : 18 juillet 2022
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-434
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 36 %
  • Technologie : Drupal

Une validation incorrecte des noms de fichiers d'extension est présente dans Drupal core.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2018-7600 — Drupal Core : vulnérabilité d'exécution de code à distance Critique

  • Produit : Drupal Drupal Core
  • Ajoutée au catalogue : 3 novembre 2021
  • Échéance CISA : 3 mai 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-20
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %
  • Technologie : Drupal

Drupal Core contient une vulnérabilité d'exécution de code à distance qui pourrait permettre à un attaquant d'exploiter de multiples vecteurs d'attaque sur un site Drupal, entraînant un compromis complet du site.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

← Retour au suivi KEV · télécharger tout le catalogue (CSV)