Drupal - CVE-2026-108097
Date de publication :
Il s’agit d’une vulnérabilité dans le module Field UI du cœur de Drupal.
Drupal est un système de gestion de contenu open source écrit en PHP. Il permet de créer et d’administrer des sites web, des portails et des applications web. Il repose sur une architecture modulaire extensible par des modules contribués et du code personnalisé.
L’élément de tableau FieldUiTable appelle sans contrôle la fonction PHP référencée dans la propriété #region_callback de chaque ligne. Le cœur seul n’expose pas ce point d’entrée. Des modules contribués ou du code personnalisé peuvent le rendre accessible à des données fournies par l’attaquant, et au moins un chemin d’exploitation ne demande aucune authentification. Le correctif remplace l’appel de la fonction par la lecture de la valeur region de la ligne.
Elle permet d’exécuter du code arbitraire à distance sur le serveur.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Oui
Exécution de code arbitraire (à distance)
Exploitation
CWE-470 : Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection')
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Une preuve de concept est disponible en sources ouvertes.
Systèmes ou composants affectés
Drupal Core versions 8.9.0 jusqu’à 10.5.x (Drupal 8, Drupal 9 et 10.0 à 10.5, branches en fin de vie)
- Drupal Core versions 10.6.0 jusqu’à 10.6.18
- Drupal Core versions 11.0.0 jusqu’à 11.2.x (branches en fin de vie)
- Drupal Core versions 11.3.0 jusqu’à 11.3.18
- Drupal Core versions 11.4.0 jusqu’à 11.4.9
- Drupal Core versions 12.0.0-alpha1 jusqu’à 12.0.0-beta1 (pré-versions non destinées à la production)
Contournement provisoire
• Drupal Core 11.3.x : désinstaller le module Field UI (field_ui)
• Drupal Core 11.4.x : désinstaller le module Field UI (field_ui)
• Drupal Core en fin de vie : désinstaller le module Field UI (field_ui), seule mesure d’atténuation citée
Solutions ou recommandations
• Drupal Core versions 11.3.19 et supérieures
• Drupal Core versions 11.4.10 et supérieures
• Drupal Core versions 12.0.0-beta2 et supérieures