CVE-2026-9082

Critica9.8 Pubblicata il 20 mag 2026

Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Drupal Drupal core allows SQL Injection. This issue affects Drupal core: from 8.9.0 before 10.4.10, from 10.5.0 before 10.5.10, from 10.6.0 before 10.6.9, from 11.0.0 before 11.1.10, from 11.2.0 before 11.2.12, from 11.3.0 before 11.3.10.

Sfruttata attivamente

Nel catalogo CISA delle vulnerabilità sfruttate dal 22 mag 2026
Le agenzie federali statunitensi devono correggerla entro il 27 mag 2026 (direttiva BOD 22-01)
Primo attacco osservato 1 giorno dopo la divulgazione
Confermata dai sensori, non solo da segnalazioni

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Fonte: CISA KEV · 11 giu 2026 25 mag 2026 22 mag 2026 22 mag 2026

Punteggio CVSS9.8 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Tipo di debolezza (CWE)CWE-89

Vendordrupal