CVE-2026-9082
Drupal core - Altamente critico - SQL injection - SA-CORE-2026-004
- Pubblicato
- 20 mag 2026
- Aggiornato
- 7 ott 2026
- Assegnazione CNA
- drupal
- Evidenza osservata
- 22 mag 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HModerato · prossimi 30 giorni
- Percentile
- 96,8%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
CISA noto sfruttato
Questo CVE appare nel catalogo CISA delle vulnerabilità sfruttate note.
Riepilogo
Vulnerabilità di neutralizzazione impropria di elementi speciali utilizzati in un comando SQL ('SQL Injection') in Drupal Drupal core consente l'iniezione SQL. Questo problema riguarda Drupal core: da 8.9.0 prima della 10.4.10, da 10.5.0 prima della 10.5.10, da 10.6.0 prima della 10.6.9, da 11.0.0 prima della 11.1.10, da 11.2.0 prima della 11.2.12, da 11.3.0 prima della 11.3.10.
Fonti
modules/auxiliary/scanner/http/drupal_pgsql_entityquery_sqli.rb
Metasploit Framework modulesCondizioni dichiarate
- verification: check_declared($.auxiliary_scanner/http/drupal_pgsql_entityquery_sqli.check)
http/cves/2026/CVE-2026-9082.yaml
Nuclei TemplatesCondizioni dichiarate
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
- CVE-2026-9082Informativo
CVE-2026-9082
- CVE-2026-9082Exploit
Drupal Core PostgreSQL da SQLi a RCE tramite /user/login (CVE-2026-9082 / SA-CORE-2026-004)
Drupal Core PostgreSQL SQL Injection PoC - CVE-2026-9082. PoC etico per la vulnerabilità di Drupal che consente l'iniezione SQL anonima attraverso il modulo JSON:API su siti basati su PostgreSQL.
- drupal-cve-2026-9082-checkerScanner
Drupal CVE-2026-9082 Verificatore di Blind SQL Injection
- drupal-jsonapi-sqli-scannerExploit
Scanner: CVE-2026-9082 SQLi PostgreSQL in Drupal tramite JSON:API — scanner Python per SQLi non autenticata che porta a RCE (CISA KEV)
- CVE-2026-9082Scanner
Scanner semi-passivo che rileva installazioni Drupal vulnerabili a CVE-2026-9082 (SQL injection su PostgreSQL) tramite fingerprinting, rilevamento della versione e probing degli endpoint senza inviare payload.
PoC per CVE-2026-9082 (Drupal SA-CORE-2026-004) Drupal Core SQLi
Exploit per CVE-2026-9082, un'iniezione SQL PostgreSQL JSON:API di Drupal che scala a RCE tramite libreria preload, con un laboratorio locale per i test.
CVE-2026-9082 | SA-CORE-2026-004
cve poc
- CVE-2026-9082-Mass_ScannerScanner
Scanner di massa per l'exploit di Drupal CVE-2026-9082
Exploit proof-of-concept per CVE-2026-9082. Script Python che dimostra l'esecuzione remota di codice contro un URL target per test di sicurezza e validazione della vulnerabilità.
cardosource · php · 1 giu 2026
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.