Download
Security Advisory; NCSC-2026-0438 [1.0.0]
- Security Advisory
- NCSC-2026-0438 [1.0.0]
- Publicatie
- 19-10-2026 10:08 (Europe/Amsterdam)
- Prioriteit
- Normaal
- Betreft
- Kwetsbaarheden verholpen in Drupal Core en modules door Drupal
Kenmerken
- Incorrect Permission Assignment for Critical Resource
Omschrijving
Drupal heeft kwetsbaarheden verholpen in de Drupal core Field UI module, Entity List module, Navigation module, Link module en het Gin administratie thema.
De kwetsbaarheden betreffen meerdere modules binnen Drupal. In de Field UI module en de Entity List module is een remote code execution kwetsbaarheid aanwezig die kan worden misbruikt via contributed modules of custom code, waarbij sommige aanvalspaden geen authenticatie vereisen. De Navigation module, Link module en het Gin administratie thema bevatten cross-site scripting (XSS) kwetsbaarheden veroorzaakt door onvoldoende sanitatie van bepaalde HTML- of URL-attributen. De XSS-kwetsbaarheden kunnen alleen worden misbruikt door gebruikers met specifieke permissies, zoals het invoeren van HTML met bepaalde data-attributen of de 'administer menu' permissie. De kwetsbaarheden zijn specifiek voor Drupal installaties die deze modules of thema's gebruiken en kunnen leiden tot ongeautoriseerde code-uitvoering of scriptinjectie.
De kwetsbaarheden zijn niet zondermeer te misbruiken, maar vereisen een plugin of externe module waarmee de kwetsbaarheid kan worden misbruikt. Het is daarom aan te raden om geen gebruik te maken van onbekende, en onvertrouwde, plugins en externe modules.
Oplossingen
Drupal heeft updates uitgebracht om de kwetsbaarheden in de genoemde modules en het Gin thema te verhelpen. Zie bijgevoegde referenties voor meer informatie.
Referenties
CVE's
Producten
Drupal
drupal
Disclaimer
The Netherlands Cyber Security Center (henceforth: NCSC-NL) maintains this page to enhance access to its information and security advisories. The use of this security advisory is subject to the following terms and conditions: NCSC-NL makes every reasonable effort to ensure that the content of this page is kept up to date, and that it is accurate and complete. Nevertheless, NCSC-NL cannot entirely rule out the possibility of errors, and therefore cannot give any warranty in respect of its completeness, accuracy or continuous keeping up-to-date. The information contained in this security advisory is intended solely for the purpose of providing general information to professional users. No rights can be derived from the information provided therein. NCSC-NL and the Kingdom of the Netherlands assume no legal liability or responsibility for any damage resulting from either the use or inability of use of this security advisory. This includes damage resulting from the inaccuracy of incompleteness of the information contained in the advisory. This security advisory is subject to Dutch law. All disputes related to or arising from the use of this advisory will be submitted to the competent court in The Hague. This choice of means also applies to the court in summary proceedings.