Injection SQL affectant Drupal Core
Une vulnérabilité affectant le cœur de Drupal permettrait à un attaquant non authentifié de réaliser à distance des injections SQL arbitraires sur les systèmes affectés utilisant PostgreSQL.
Description
Contexte technique et détails de la vulnérabilité
Drupal est un système de gestion de contenu (CMS) open source largement utilisé pour la création et la gestion de sites web et d'applications en ligne. Cet outil est affecté par la vulnérabilité libellée CVE-2026-9082, due à une validation insuffisante des entrées utilisateur dans l'API d'abstraction de base de données de Drupal Core, qui permet une injection SQL via le gestionnaire de conditions EntityQuery pour PostgreSQL. Son exploitation permettrait à un acteur malveillant, en envoyant des requêtes spécialement conçues, d'injecter des instructions SQL malveillantes dans un site Drupal utilisant PostgreSQL. Elle est classée moyenne avec un score de sévérité de 6.5 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Élévation de privilèges ;
- Divulgation d'informations sensibles ;
- Atteinte à l'intégrité du système.
Systèmes affectés
Produits, composants et versions concernés
- Drupal version 8.9.0 et ultérieures, antérieures à 10.4.10 ;
- Drupal version 10.5.0 et ultérieures, antérieures à 10.5.10 ;
- Drupal version 10.6.0 et ultérieures, antérieures à 10.6.9 ;
- Drupal version 11.0.0 et ultérieures, antérieures à 11.1.10 ;
- Drupal version 11.2.0 et ultérieures, antérieures à 11.2.12 ;
- Drupal version 11.3.0 et ultérieures, antérieures à 11.3.10.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour Drupal Core vers la dernière version disponible.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.