Vývojáři z projektu Drupal předem informovali o tom, že se chystají vydat záplatu na kritickou zranitelnost, která postihuje část instalací jejich redakčního systému. Chyba dostala označení CVE-2026–9082 a skóre CVSS 6,5. Problém se nachází v rozhraní API pro databáze, které se v jádru Drupalu používá k ověřování dotazů a zajištění jejich očištění před útoky typu SQL injection.
Zranitelnost v tomto API umožňuje útočníkovi odesílat speciálně upravené požadavky, což vede k libovolnému vkládání SQL kódu na webech využívajících databáze PostgreSQL. To může vést k úniku informací a v některých případech k eskalaci oprávnění, vzdálenému spuštění kódu nebo jiným útokům.
Chyba postihuje jen instance Drupalu, které jako databázi využívají PostgreSQL. Problém je opraven v následujících verzích: Drupal 11.3.10, 11.2.12, 11.1.10, 10.6.9, 10.5.10 a 10.4.10. Dále byly vydány opravy pro dvě starší verze, které už nedostávají obvyklou podporu: Drupal 9.5 a 8.9. Verze 7 není problémem postižena.
(Zdroj: The Hacker News)
