CVE-2026-9082
20. Mai 2026 In Drupal Core existiert eine SQL-Injection-Schwachstelle in der Datenbank-Abstraktions-API. Speziell gestaltete Anfragen können zu beliebigen SQL-Injections führen. Die Schwachstelle ist ausschließlich für Drupal-Installationen relevant, die PostgreSQL als Datenbank einsetzen, und kann ohne Authentifizierung durch anonyme Benutzer:innen ausgenutzt werden. Zusätzlich zur SQL-Injection enthalten die Drupal-Releases für die unterstützten Versionszweige (11.3, 11.2, 10.6 und 10.5) auch Sicherheitsaktualisierungen für die Abhängigkeiten Symfony und Twig. Diese Abhängigkeits-Updates betreffen unabhängig von der eingesetzten Datenbank alle Drupal-Installationen. CVE-Nummer(n): CVE-2026-9082 CVSS Base Score: N/A
EPSS 87.89% · 99.8th percentile
Risk Scores
Affected Products
| Vendor | Product | Versions |
|---|---|---|
| Drupal | Drupal 10.5.x: Versionen vor 10.5.10 | |
| Drupal | Drupal 10.4.x und frühere 10er-Versionen: vor 10.4.10 (End-of-Life) | |
| Drupal | Drupal 11.3.x: Versionen vor 11.3.10 | |
| Drupal | Drupal 8.9.x: alle Versionen (End-of-Life) | |
| Drupal | Drupal 11.1.x und 11.0.x: Versionen vor 11.1.10 (End-of-Life) | |
| Drupal | Drupal 11.2.x: Versionen vor 11.2.12 | |
| Drupal | Drupal 9.x: alle Versionen (End-of-Life) | |
| Drupal | Drupal 10.6.x: Versionen vor 10.6.9 |
Timeline
- Aug 12, 2021 CrowdSec Sighting
- Sep 27, 2022 CrowdSec Sighting
- Dec 4, 2022 CrowdSec Sighting
- Dec 11, 2022 CrowdSec Sighting
- Apr 5, 2023 CrowdSec Sighting
- Aug 30, 2023 CrowdSec Sighting
- Nov 1, 2023 CrowdSec Sighting
- Dec 29, 2023 CrowdSec Sighting
- Aug 1, 2024 CrowdSec Sighting
- Aug 10, 2024 CrowdSec Sighting
- Nov 4, 2024 CrowdSec Sighting
- Dec 30, 2024 CrowdSec Sighting