CVE-2026-96376

اسم البرنامج المصاب والإصدارات المتأثرة Drupal Cloud الإصدارات من 0.0.0 إلى 7.0.1

Description توجد ثغرة حقن أوامر نظام التشغيل في وحدة Cloud، التي تتيح للمستخدمين إدارة موارد السحابة. تفشل الوحدة في تنقية قيم Git branch و repository URL بشكل كافٍ قبل تمريرها إلى أوامر shell في تكامل Kubernetes. يسمح هذا للمهاجم بتنفيذ أوامر نظام تشغيل عشوائية بصلاحيات مستخدم خادم الويب. يتطلب الاستغلال أن يكون submódulo Kubernetes مفعلًا ومكونًا، وأن يكون Git متاحًا على الخادم، وأن يمتلك المهاجم صلاحية إضافة أو تحرير نماذج الخادم السحابي. بالإضافة إلى ذلك، يتطلب استغلال مسار الاستنساخ صلاحية "launch cloud server template" أو "launch approved cloud server template".

Recommendations تحديث Drupal Cloud إلى إصدار أحدث من 7.0.1. قصر صلاحيات إضافة أو تحرير نماذج الخادم السحابي على المستخدمين الموثوقين فقط. تعطيل submódulo Kubernetes إذا لم يكن مطلوبًا لعمليات العمل.