Drupal - CVE-2026-108097
Date de publication :
Il s’agit d’une vulnérabilité dans le module Field UI de Drupal core.
Drupal core est le noyau du système de gestion de contenu libre Drupal. Il fournit les fonctions de base pour créer et administrer des sites web. Il gère notamment les contenus, les utilisateurs, les champs et les modules complémentaires.
Ce module fournit l’interface d’administration des champs. Le défaut est une réflexion non sécurisée. Une entrée contrôlée de l’extérieur sert à sélectionner des classes ou du code à exécuter. Cette donnée atteint une structure de rendu utilisée pour construire les tableaux de Field UI. Le noyau seul n’est pas directement exploitable. Plusieurs voies d’exploitation sérieuses existent via des modules contribués. Au moins une voie ne requiert aucune authentification. Du code personnalisé peut aussi exposer la fonctionnalité vulnérable.
Elle permet l’exécution de code arbitraire à distance sur le serveur. L’impact porte sur la confidentialité et l’intégrité des données du site.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Oui
Exécution de code arbitraire (à distance)
Exploitation
CWE-470 : Use of Externally-Controlled Input to Select Classes or Code
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Drupal core versions 8.9.0 jusqu’à 10.6.18.
- Drupal core versions 11.0.0 jusqu’à 11.3.18.
- Drupal core versions 11.4.0 jusqu’à 11.4.9.
- Drupal core versions 12.0.0-alpha1 jusqu’à 12.0.0-beta1.
Contournement provisoire
• Drupal Steward bloque certaines voies d’attaque connues. Il ne couvre pas toutes les voies possibles et ne remplace pas la mise à jour.
Solutions ou recommandations
• Branche 11.3.x : Drupal core versions 11.3.19 et supérieures.
• Branche 10.6.x : Drupal core versions 10.6.19 et supérieures.
• Branche 12.0.x : Drupal core versions 12.0.0-beta2 et supérieures.