CVE-2026-9082

Nome do Software Vulnerável e Versões Afetadas Drupal Core versões 8.9.0 até 10.4.9 Drupal Core versões 10.5.0 até 10.5.9 Drupal Core versões 10.6.0 até 10.6.8 Drupal Core versões 11.0.0 até 11.1.9 Drupal Core versões 11.2.0 até 11.2.11 Drupal Core versões 11.3.0 até 11.3.9

Descrição Uma falha de injeção de SQL não autenticada existe na API de abstração de banco de dados do Drupal Core, especificamente no manipulador de condições EntityQuery do PostgreSQL. O problema ocorre quando chaves de array PHP controladas pelo invasor, como filter[...][condition][value][malicious key], são concatenadas diretamente em identificadores SQL sem a sanitização adequada. Esta vulnerabilidade afeta exclusivamente sites que utilizam bancos de dados PostgreSQL. Usuários anônimos remotos podem explorar isso para obter acesso total ao banco de dados, exfiltrar dados sensíveis, elevar privilégios para Administrador e, potencialmente, executar comandos de shell arbitrários no servidor host via Execução Remota de Código (RCE) se as permissões do banco de dados estiverem mal configuradas (por exemplo, permitindo COPY FROM PROGRAM). Foram detectadas mais de 15.000 tentativas de ataque contra aproximadamente 6.000 sites em 65 países, sendo os serviços financeiros e de jogos os alvos principais.

Recomendações Atualize o Drupal Core para a versão 10.4.10. Atualize o Drupal Core para a versão 10.5.10. Atualize o Drupal Core para a versão 10.6.9. Atualize o Drupal Core para a versão 11.1.10. Atualize o Drupal Core para a versão 11.2.12. Atualize o Drupal Core para a versão 11.3.10. Restrinja as funções de usuário que têm a capacidade de atualizar modelos Twig via Views ou módulos contribuídos. Direcione o tráfego de produção através de um Web Application Firewall (WAF) para filtrar assinaturas de carga útil de arrays aninhados maliciosos. Revise os logs do PostgreSQL e do WAF em busca de consultas incomuns de usuários anônimos ou modificações estruturais de consultas.