CVE-2019-6340
Drupal core - Критическая - Удаленное выполнение кода
- Опубликовано
- 21 февр. 2019 г.
- Обновлено
- 21 окт. 2025 г.
- Назначение CNA
- drupal
- Наблюдены доказательства
- 23 февр. 2019 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HВысокий · следующие 30 дней
- Процентиль
- 99,8 %
- Дата модели
- 15 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
CISA Известно, что эксплуатация
Эта CVE присутствует в каталоге известных эксплуатируемых уязвимостей CISA.
Резюме
Некоторые типы полей не должным образом очищают данные из источников, не связанных с формами, в Drupal 8.5.x до 8.5.11 и Drupal 8.6.x до 8.6.10. В некоторых случаях это может привести к выполнению произвольного PHP-кода. Сайт затронут этой проблемой, только если выполняется одно из следующих условий: на сайте включён модуль ядра Drupal 8 RESTful Web Services (rest) и разрешены запросы PATCH или POST, либо на сайте включён другой модуль веб-сервисов, например JSON:API в Drupal 8, или Services или RESTful Web Services в Drupal 7. (Примечание: сам модуль Services для Drupal 7 в настоящее время не требует обновления, но если используется Services, вам следует применить другие обновления сторонних модулей, связанные с этим уведомлением.)
Источники
http/cves/2019/CVE-2019-6340.yaml
Nuclei TemplatesЗаявленные условия
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
modules/exploits/unix/webapp/drupal_restws_unserialize.rb
Metasploit Framework modulesЗаявленные условия
- platform: PHP,Unix($.exploit_unix/webapp/drupal_restws_unserialize.platform)
- verification: check_declared($.exploit_unix/webapp/drupal_restws_unserialize.check)
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.