🚨 CVE-2026-9082 : Drupal Core में SQL Injection भेद्यता

Drupal Core (PostgreSQL) में उच्च-प्रभाव SQL Injection भेद्यता

📋 अवलोकन

CVE-2026-9082 Drupal Core के डेटाबेस एब्स्ट्रक्शन लेयर में एक SQL Injection भेद्यता है। यह केवल PostgreSQL को डेटाबेस बैकएंड के रूप में उपयोग करने वाली साइटों को प्रभावित करता है।

यह भेद्यता बिना प्रमाणीकरण वाले हमलावरों को मनमाना SQL इंजेक्शन करने की अनुमति देती है, जिससे संभावित रूप से डेटा लीक, विशेषाधिकार वृद्धि, और सबसे बुरे मामलों में, रिमोट कोड निष्पादन हो सकता है।

⚠️ यह एक वास्तविक दुनिया की गंभीर सुरक्षा सलाहकार है (SA-CORE-2026-004)

🛡️ गंभीरता

Drupal का आंतरिक मूल्यांकन: अत्यधिक गंभीर (विशेष रूप से PostgreSQL साइटों के लिए)

📌 प्रभावित संस्करण

प्रभावित नहीं:

• Drupal 7.x (सभी संस्करण)
• MySQL या MariaDB का उपयोग करने वाली साइटें
• SQLite का उपयोग करने वाली साइटें

🔧 शमन

तत्काल कार्यवाही

Drupal Core को तुरंत अपडेट करें ऊपर सूचीबद्ध निश्चित संस्करणों में से किसी एक पर।

त्वरित आदेश

# Using Composer (recommended)
composer update drupal/core-recommended --with-dependencies

# Or update to a specific secure version
composer require drupal/core:11.3.10

अतिरिक्त सिफारिशें

• यदि संभव हो तो स्वचालित अपडेट सक्षम करें
• संदिग्ध क्वेरी के लिए डेटाबेस लॉग की समीक्षा करें
• यदि पैचिंग में देरी हो रही है तो PostgreSQL-विशिष्ट पेलोड को ब्लॉक करने वाले अस्थायी WAF नियमों पर विचार करें

🛠 तकनीकी विवरण

• भेद्यता प्रकार: SQL कमांड में उपयोग किए गए विशेष तत्वों का अनुचित न्यूट्रलाइजेशन ('SQL Injection')
• स्थान: Drupal Core Database Abstraction API
• शोषण करने वाला: अनाम / बिना प्रमाणीकरण के उपयोगकर्ता
• ट्रिगर: PostgreSQL-विशिष्ट सुविधाओं का उपयोग करने वाली कुछ डेटाबेस क्वेरी

📚 संदर्भ

• आधिकारिक सलाह: SA-CORE-2026-004
• CVE प्रविष्टि: CVE-2026-9082
• Drupal सुरक्षा टीम