CVE-2023-5256
Drupal core - Crítico - Envenenamento de cache - SA-CORE-2023-006
- Publicado
- 28 de set. de 2023
- Atualizado
- 23 de set. de 2024
- Atribuindo CNA
- drupal
- Evidência observada
- 28 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:HBaixo · próximos 30 dias
- Percentil
- 58,1%
- Data do modelo
- 29 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Em certos cenários, o módulo JSON:API do Drupal irá gerar backtraces de erro. Com algumas configurações, isso pode fazer com que informações sensíveis sejam armazenadas em cache e disponibilizadas a usuários anônimos, levando à escalada de privilégios. Esta vulnerabilidade afeta apenas sites com o módulo JSON:API habilitado e pode ser mitigada desinstalando o JSON:API. Os módulos REST do core e GraphQL contribuído não são afetados.
Fontes
- publicationsPesquisa
Hub de pesquisa em segurança ofensiva que agrega avisos originais de vulnerabilidades, exploits de prova de conceito de CVE, palestras de conferências e ferramentas internas de diversas auditorias de produtos.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.