PT-2026-97659

CVE-2026-96367

Publicado

2026-09-23

Atualizado

2026-10-22

Descrição por

CVSS 3.1

4.6

Média

MétricasAV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Drupal Webform versões 6.2.x até 6.3.x

Description O módulo Webform não restringe adequadamente o acesso ao editor YAML de atributos personalizados. Usuários com permissão para criar ou editar webforms, mas sem permissão para editar a fonte do webform, podem adicionar atributos personalizados. Essa falha permite a ocorrência de cross-site scripting (XSS) armazenado, uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo e servidos a outros usuários. Aproximadamente 436.300 instâncias foram identificadas globalmente.

Recommendations Atualize o Drupal Webform para uma versão posterior à 6.3.x.

Explorabilidade

Exploit

Correção

Pesquisadores