CVE-2026-9082

Critique9.8 Publiée le 20 mai 2026

Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Drupal Drupal core allows SQL Injection. This issue affects Drupal core: from 8.9.0 before 10.4.10, from 10.5.0 before 10.5.10, from 10.6.0 before 10.6.9, from 11.0.0 before 11.1.10, from 11.2.0 before 11.2.12, from 11.3.0 before 11.3.10.

Activement exploitée

Dans le catalogue CISA des vulnérabilités exploitées depuis le 22 mai 2026
Les agences fédérales américaines doivent la corriger avant le 27 mai 2026 (BOD 22-01)
Première attaque observée 1 jour après la divulgation
Confirmée par des capteurs, pas seulement par des signalements

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Source : CISA KEV · 11 juin 2026 25 mai 2026 22 mai 2026 22 mai 2026

Score CVSS9.8 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Type de faiblesse (CWE)CWE-89

Éditeursdrupal

Produits concernés

Éditeurs	Produit	Versions
drupal	drupal	< 10.4.10

Articles liés

Le framework Exposed Phantom révèle des intrusions assistées par IA liées à des affiliés de rançongiciels

23 oct. 202620:39 4 min de lectureLire

This product uses the NVD API but is not endorsed or certified by the NVD.

Base de données CVE