willbesec

Drupal core: reflexão insegura permite injeção de código

O núcleo do Drupal, em várias versões desde a 8.9.0 até à 12.0.0-beta2, usa entradas externas para escolher classes ou código (reflexão insegura). Existem correções nas séries 10.6, 11.3 e 11.4. CVSS 8,1.

  • Identificador: CVE-2026-108097
  • Publicado em: 2026-10-30
  • Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 8.1 (HIGH)

Descrição (texto original em inglês):

Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') vulnerability in Drupal Drupal core allows Reflection Injection. This issue affects Drupal core versions: from 8.9.0 to 10.6.19, from 11.0.0 to 11.3.19, from 11.4.0 to 11.4.10, from 12.0.0-alpha1 to 12.0.0-beta2.

  • Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
  • Técnica MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application)

Fontes

  1. Registo do CVE no NVDnvd.nist.gov
  2. Referência (www.drupal.org)www.drupal.org
  3. Técnica MITRE ATT&CK T1190attack.mitre.org

Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.