CVE-2026-9082
Drupal core - Altamente crítico - Inyección SQL - SA-CORE-2026-004
- Publicado
- 20 may 2026
- Actualizado
- 7 oct 2026
- Asignación de CNA
- drupal
- Evidencia observada
- 22 may 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HModerado · próximos 30 días
- Percentil
- 96,8 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
CISA conocida explotada
Este CVE aparece en el catálogo de vulnerabilidades explotadas conocidas de CISA.
Resumen
Neutralización Incorrecta de Elementos Especiales utilizados en un Comando SQL ('inyección SQL') vulnerabilidad en Drupal Drupal core permite inyección SQL. Este problema afecta a Drupal core: desde 8.9.0 antes de 10.4.10, desde 10.5.0 antes de 10.5.10, desde 10.6.0 antes de 10.6.9, desde 11.0.0 antes de 11.1.10, desde 11.2.0 antes de 11.2.12, desde 11.3.0 antes de 11.3.10.
Fuentes
modules/auxiliary/scanner/http/drupal_pgsql_entityquery_sqli.rb
Metasploit Framework modulesCondiciones declaradas
- verification: check_declared($.auxiliary_scanner/http/drupal_pgsql_entityquery_sqli.check)
http/cves/2026/CVE-2026-9082.yaml
Nuclei TemplatesCondiciones declaradas
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
- CVE-2026-9082Informativo
CVE-2026-9082
- CVE-2026-9082Exploit
Drupal Core PostgreSQL SQLi a RCE mediante /user/login (CVE-2026-9082 / SA-CORE-2026-004)
Drupal Core PostgreSQL SQL Injection PoC - CVE-2026-9082. PoC ético para la vulnerabilidad de Drupal que permite inyección SQL anónima a través del módulo JSON:API en sitios respaldados por PostgreSQL.
- drupal-cve-2026-9082-checkerEscáner
Drupal CVE-2026-9082 Comprobador de Inyección SQL Ciega
- drupal-jsonapi-sqli-scannerExploit
Escáner: CVE-2026-9082 SQLi en Drupal PostgreSQL vía JSON:API — escáner de Python para SQLi no autenticado que conduce a RCE (CISA KEV)
- CVE-2026-9082Escáner
Escáner semipasivo que detecta instalaciones de Drupal vulnerables a CVE-2026-9082 (inyección SQL en PostgreSQL) mediante fingerprinting, detección de versiones y sondeo de endpoints sin enviar payloads.
PoC para CVE-2026-9082 (Drupal SA-CORE-2026-004) inyección SQL del núcleo de Drupal
Exploit para CVE-2026-9082, una inyección SQL en PostgreSQL de Drupal JSON:API que escala a RCE mediante la biblioteca preload, con un laboratorio local para pruebas.
CVE-2026-9082 | SA-CORE-2026-004
PoC de CVE
- CVE-2026-9082-Mass_ScannerEscáner
Escáner masivo para exploit de Drupal CVE-2026-9082
Exploit de prueba de concepto para CVE-2026-9082. Script de Python que demuestra ejecución remota de código contra una URL objetivo para pruebas de seguridad y validación de vulnerabilidades.
cardosource · php · 1 jun 2026
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.