CVE-2026-12535

إصدارات «Drupal Formatter Field» من 0.0.0 إلى 2.0.0

يسمح التعديل غير الخاضع للرقابة بشكل صحيح لسمات الكائنات المحددة ديناميكيًا في وحدة Formatter Field بإدخال كائنات (Object Injection). يحدث هذا لأن الوحدة تخزن البيانات كسلاسل مُسلسلة بلغة PHP، وإذا تمت كتابة بيانات ضارة مباشرةً في الحقل، فيمكن تشغيلها أثناء عملية إلغاء التسلسل. يتطلب استغلال هذه الثغرة أن يكون لدى المهاجم أذونات لتحرير كيان محتوى مرفق بحقل formatter field. بالإضافة إلى ذلك، يجب تمكين الوحدة النمطية الأساسية JSON:API مع الخيار ”قبول جميع عمليات إنشاء وقراءة وتحديث وحذف JSON:API“، أو يجب أن يكون لدى المهاجم طريقة بديلة لتحرير قيم الحقول مباشرةً.

تحديث Drupal Formatter Field إلى إصدار أحدث من 2.0.0.

تقييد أذونات تعديل كيانات المحتوى التي تستخدم الحقل formatter field.

تعطيل الخيار ”قبول جميع عمليات إنشاء وقراءة وتحديث وحذف JSON:API“ في وحدة JSON:API.