CVE-2026-96355

Nome do Software Vulnerável e Versões Afetadas Drupal (versões afetadas não especificadas)

Descrição O módulo Webform não exclui adequadamente certos modelos de formato da substituição de tokens. Isso permite que um invasor envie dados que são avaliados como código de modelo quando uma submissão é renderizada. Dependendo da configuração do site e dos módulos habilitados, isso pode levar à execução remota de código, cross-site scripting (XSS) armazenado ou divulgação de informações. Este problema é mitigado se o webform não estiver configurado com um formato de item de valor múltiplo personalizado que inclua tokens de valor de submissão. Aproximadamente 436.300 instâncias foram identificadas globalmente.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.