CVE-2026-12535

Nome do Software Vulnerável e Versões Afetadas Drupal Formatter Field versões 0.0.0 a 2.0.0

Description A modificação inadequadamente controlada de atributos de objeto determinados dinamicamente no módulo Formatter Field permite a Injeção de Objetos. Isso ocorre porque o módulo armazena dados como strings serializadas em PHP e, se dados maliciosos forem gravados diretamente no campo, a vulnerabilidade pode ser acionada durante o processo de desserialização. A exploração requer que o invasor tenha permissão para editar uma entidade de conteúdo com um campo formatter field anexado. Além disso, o módulo core JSON:API deve estar habilitado com a opção "Accept all JSON:API create, read, update, and delete operations", ou o invasor deve possuir outro método para editar os valores dos campos diretamente.

Recommendations Atualize o Drupal Formatter Field para uma versão posterior à 2.0.0. Restrinja as permissões para editar entidades de conteúdo que utilizam o campo formatter field. Desative a opção "Accept all JSON:API create, read, update, and delete operations" no módulo JSON:API.