CVE-2026-9082

20. Mai 2026 In Drupal Core existiert eine SQL-Injection-Schwachstelle in der Datenbank-Abstraktions-API. Speziell gestaltete Anfragen können zu beliebigen SQL-Injections führen. Die Schwachstelle ist ausschließlich für Drupal-Installationen relevant, die PostgreSQL als Datenbank einsetzen, und kann ohne Authentifizierung durch anonyme Benutzer:innen ausgenutzt werden. Zusätzlich zur SQL-Injection enthalten die Drupal-Releases für die unterstützten Versionszweige (11.3, 11.2, 10.6 und 10.5) auch Sicherheitsaktualisierungen für die Abhängigkeiten Symfony und Twig. Diese Abhängigkeits-Updates betreffen unabhängig von der eingesetzten Datenbank alle Drupal-Installationen. CVE-Nummer(n): CVE-2026-9082 CVSS Base Score: N/A

EPSS 7.67% · 92.1th percentile