CVE-2026-96376

Nome do Software Vulnerável e Versões Afetadas Drupal Cloud versões 0.0.0 a 7.0.1

Description Um problema de Injeção de Comando de SO existe no módulo Cloud, que permite aos usuários gerenciar recursos de nuvem. O módulo não sanitiza adequadamente os valores de Git branch e repository URL antes de passá-los para comandos de shell na integração com Kubernetes. Isso permite que um invasor execute comandos arbitrários do sistema operacional como o usuário do servidor web. A exploração requer que o submódulo Kubernetes esteja habilitado e configurado, que o Git esteja instalado no servidor e que o invasor tenha permissão para adicionar ou editar modelos de servidor em nuvem. Além disso, a exploração do caminho de clonagem requer a permissão "launch cloud server template" ou "launch approved cloud server template".

Recommendations Atualize o Drupal Cloud para uma versão posterior à 7.0.1. Restrinja as permissões para adicionar ou editar modelos de servidor em nuvem apenas a usuários confiáveis. Desative o submódulo Kubernetes se ele não for necessário para as operações de negócio.