CVE-2026-9082

اسم البرنامج المصاب والإصدارات المتأثرة Drupal Core الإصدارات من 8.9.0 إلى 10.4.9 Drupal Core الإصدارات من 10.5.0 إلى 10.5.9 Drupal Core الإصدارات من 10.6.0 إلى 10.6.8 Drupal Core الإصدارات من 11.0.0 إلى 11.1.9 Drupal Core الإصدارات من 11.2.0 إلى 11.2.11 Drupal Core الإصدارات من 11.3.0 إلى 11.3.9

الوصف توجد ثغرة حقن SQL غير مصرح بها في واجهة برمجة تطبيقات تجريد قاعدة البيانات في Drupal Core، وتحديداً ضمن معالج شروط EntityQuery الخاص بـ PostgreSQL. تحدث المشكلة عندما يتم دمج مفاتيح مصفوفة PHP التي يتحكم فيها المهاجم، مثل filter[...][condition][value][malicious key]، مباشرة في معرفات SQL دون تطهير مناسب. تؤثر هذه الثغرة حصرياً على المواقع التي تستخدم قواعد بيانات PostgreSQL. يمكن للمستخدمين المجهولين عن بُعد استغلال ذلك للوصول الكامل إلى قاعدة البيانات، وتسريب البيانات الحساسة، وتصعيد الامتيازات إلى مسؤول النظام، وربما تنفيذ أوامر shell تعسفية على الخادم المضيف عبر تنفيذ التعليمات البرمجية عن بُعد (RCE) إذا كانت أذونات قاعدة البيانات مهيأة بشكل خاطئ (على سبيل المثال، السماح بـ COPY FROM PROGRAM). تم رصد أكثر من 15,000 محاولة هجوم ضد حوالي 6,000 موقع في 65 دولة، وكانت خدمات الألعاب والخدمات المالية هي الأهداف الرئيسية.

التوصيات تحديث Drupal Core إلى الإصدار 10.4.10. تحديث Drupal Core إلى الإصدار 10.5.10. تحديث Drupal Core إلى الإصدار 10.6.9. تحديث Drupal Core إلى الإصدار 11.1.10. تحديث Drupal Core إلى الإصدار 11.2.12. تحديث Drupal Core إلى الإصدار 11.3.10. تقييد أدوار المستخدمين الذين لديهم القدرة على تحديث قوالب Twig عبر Views أو الوحدات النمطية المساهم بها. توجيه حركة مرور الإنتاج من خلال جدار حماية تطبيقات الويب (WAF) لتصفية توقيعات حمولة المصفوفات المتداخلة الخبيثة. مراجعة سجلات PostgreSQL وWAF للبحث عن استعلامات غير عادية من مستخدمين مجهولين أو تعديلات هيكلية في الاستعلامات.