Origine : bjCSIRT
Numéro : 2026/ALERTE/123
APERÇU :
Une vulnérabilité affectant Drupal Core permettrait à un acteur malveillant d‘exécuter du code arbitraire à distance sur les systèmes affectés.
DESCRIPTION :
Drupal est un système de gestion de contenu (CMS) open source largement utilisé pour la création et la gestion de sites web et d’applications en ligne.
Ce produit est affecté par une vulnérabilité libellée CVE-2026-108097 résultant d’une validation insuffisante d’un paramètre (#region_callback) dans le module Field UI de Drupal Core. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant d’exécuter du code arbitraire à distance sur le serveur affecté, notamment en présence de certains modules additionnels ou de code personnalisé.
Elle est classée critique avec un score de sévérité de 9.8 selon le CVSS V3.1.
IMPACT :
- Exécution de code arbitraire à distance ;
- Atteinte à l’intégrité des données ;
- Atteinte à la confidentialité des données.
SYSTEMES AFFECTÉS :
- Drupal 8.9.0 à 10.6.x antérieur à 10.6.19 ;
- Drupal 11.0.x à 11.3.x antérieur à 11.3.19 ;
- Drupal 11.4.x antérieur à 11.4.10 ;
- Drupal 12.0.0-alpha1 à beta1.
MESURES À PRENDRE :
- Mettre à jour Drupal vers les versions 10.6.19, 11.3.19, 11.4.10 ou ultérieure ;
- Désinstaller le module Field UI (field_ui) jusqu’à l’application des correctifs.
RÉFÉRENCES :