Drupal zakrpio dve kritične ranjivosti u jezgru i Entity List modulu
Zahvaćene su sve podržane verzije Drupal jezgra. Bezbednosni tim preporučuje da administratori primene ispravke pre 14. oktobra jer bi zloupotrebe mogle uslediti za nekoliko sati ili dana.
Drupal je objavio bezbednosne ispravke za dve kritične ranjivosti koje omogućavaju izvršavanje koda na daljinu. Zahvaćene su sve trenutno podržane verzije Drupal jezgra, a prema podacima projekta Drupal pokreće više od milion sajtova.
Prvi propust, CVE-2026-108097, nalazi se u modulu Field UI u jezgru. Drugi, CVE-2026-108099, nalazi se u Entity List modulu koji služi za pravljenje lista bez Views. Drupal bezbednosni tim upozorava da bi napadači mogli da razviju zloupotrebe u roku od nekoliko sati ili dana od objave, pa administratorima preporučuje da ispravke primene pre 14. oktobra.
Za obe ranjivosti postoje putanje zloupotrebe koje ne zahtevaju prijavu, ali je za to potrebna interakcija sa dopunskim modulima ili prilagođenim kodom. Samo Drupal jezgro nije dovoljno za napad.
Ispravljene verzije su Drupal core 10.6.19, 11.3.19 i 11.4.10, u zavisnosti od grane, i Entity List 3.0.10. Starije grane od 10.6 i 11.3 više nisu podržane. Ranjive su i predizdanja Drupal 12 pre beta2, ali se ne preporučuju za produkciju; stabilna verzija 12.0 sadržaće ispravke.
Šta uraditi - Nadograditi Drupal core na odgovarajuću ispravljenu verziju i Entity List na 3.0.10. - Ako nadogradnja nije odmah moguća, ukloniti modul Field UI (field_ui) iz jezgra kao privremenu meru. - Imati u vidu da Drupal Steward štiti samo od nekih poznatih napada, ne od svih.
Izvori
Uočili ste grešku? Pišite na redakcija@webjunkie.net. Kako ispravljamo tekstove