CVE-2019-6340: fallo de gravedad alta en Drupal Core
Drupal core - Highly critical - Remote Code Execution
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Apply updates per vendor instructions.
La API REST de Drupal no limpia adecuadamente los datos antes de procesarlos, permitiendo que atacantes ejecuten código PHP arbitrario en sitios afectados. Esto es crítico porque los atacantes pueden controlar completamente el sitio sin necesidad de una cuenta de usuario.
Sanitización insuficiente de datos de entrada en el procesamiento de tipos de campo permite deserialización insegura de datos no confiables a través de endpoints de servicios web (solicitudes PATCH/POST). Requiere el módulo REST habilitado o módulo alternativo de servicios web; la explotación resulta en ejecución remota de código con privilegios de la aplicación.
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.