p PatchFirst

PatchFirst · Aktuelle Sicherheitslücken

Sicherheitslücken in drupal/core · Seite 2

In den letzten 30 Tagen veröffentlichte Sicherheitslücken für drupal/core: 3. Davon im KEV-Katalog: 0.

RSS ↗ JSON ↗
Sicherheitslücken filtern
Filter zurücksetzen

Sicherheitslücken: 150

  1. CVE-2025-31675

    Mittel · CVSS 5.4EPSS 0,5%Korrektur verfügbar

    Drupal core - Moderately critical - Cross Site Scripting - SA-CORE-2025-004

    Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Drupal Drupal core allows Cross-Site Scripting (XSS).This issue affects Drupal core: from 8.0.0 before 10.3.14, from 10.4.0 before 10.4.5, from 11.0.0 before 11.0.13, from 11.1.0 before 11.1.5. It also affects the Drupal 7 module from versions 7.x-1.0 through 7.x-1.12.

    drupal/core drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 10.3.14 aktualisieren
    • Auf 10.4.5 aktualisieren
    • Auf 11.0.13 aktualisieren
    • Auf 11.1.5 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  2. CVE-2025-31674

    Hoch · CVSS 7.5EPSS 0,6%Korrektur verfügbar

    Drupal core - Moderately critical - Gadget Chain - SA-CORE-2025-003

    Improperly Controlled Modification of Dynamically-Determined Object Attributes vulnerability in Drupal Drupal core allows Object Injection.This issue affects Drupal core: from 8.0.0 before 10.3.13, from 10.4.0 before 10.4.3, from 11.0.0 before 11.0.12, from 11.1.0 before 11.1.3.

    drupal/core drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 10.3.13 aktualisieren
    • Auf 10.4.3 aktualisieren
    • Auf 11.0.12 aktualisieren
    • Auf 11.1.3 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  3. CVE-2025-31673

    Mittel · CVSS 4.6EPSS 0,32%Korrektur verfügbar

    Drupal core - Moderately critical - Access bypass - SA-CORE-2025-002

    Incorrect Authorization vulnerability in Drupal Drupal core allows Forceful Browsing.This issue affects Drupal core: from 8.0.0 before 10.3.13, from 10.4.0 before 10.4.3, from 11.0.0 before 11.0.12, from 11.1.0 before 11.1.3.

    drupal/core drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 10.3.13 aktualisieren
    • Auf 10.4.3 aktualisieren
    • Auf 11.0.12 aktualisieren
    • Auf 11.1.3 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  4. CVE-2025-3057

    Mittel · CVSS 6.1EPSS 0,31%Korrektur verfügbar

    Drupal core - Critical - Cross site scripting - SA-CORE-2025-001

    Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Drupal Drupal core allows Cross-Site Scripting (XSS).This issue affects Drupal core: from 8.0.0 before 10.3.13, from 10.4.0 before 10.4.3, from 11.0.0 before 11.0.12, from 11.1.0 before 11.1.3.

    drupal/core drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 10.3.13 aktualisieren
    • Auf 10.4.3 aktualisieren
    • Auf 11.0.12 aktualisieren
    • Auf 11.1.3 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  5. CVE-2024-55638

    Kritisch · CVSS 9.8EPSS 0,98%Korrektur verfügbar

    Drupal core - Moderately critical - Gadget chain - SA-CORE-2024-008

    Deserialization of Untrusted Data vulnerability in Drupal Core allows Object Injection.This issue affects Drupal Core: from 7.0 before 7.102, from 8.0.0 before 10.2.11, from 10.3.0 before 10.3.9. Drupal core contains a chain of methods that is exploitable when an insecure deserialization vulnerability exists on the site. This so-called gadget chain presents no direct threat but is a vector that can be used to achieve remote code execution if the application deserializes untrusted data due to another vulnerability.

    drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 10.2.11 aktualisieren
    • Auf 10.3.9 aktualisieren
    • Auf 7.102 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  6. CVE-2024-55637

    Kritisch · CVSS 9.8EPSS 0,83%Korrektur verfügbar

    Drupal core - Moderately critical - Gadget chain - SA-CORE-2024-007

    Deserialization of Untrusted Data vulnerability in Drupal Core allows Object Injection.This issue affects Drupal Core: from 8.0.0 before 10.2.11, from 10.3.0 before 10.3.9, from 11.0.0 before 11.0.8. Drupal core contains a chain of methods that is exploitable when an insecure deserialization vulnerability exists on the site. This so-called gadget chain presents no direct threat but is a vector that can be used to achieve remote code execution if the application deserializes untrusted data due to another vulnerability.

    drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 10.2.11 aktualisieren
    • Auf 10.3.9 aktualisieren
    • Auf 11.0.8 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  7. CVE-2024-55636

    Kritisch · CVSS 9.8EPSS 0,93%Korrektur verfügbar

    Drupal core - Less critical - Gadget chain - SA-CORE-2024-006

    Deserialization of Untrusted Data vulnerability in Drupal Core allows Object Injection.This issue affects Drupal Core: from 8.0.0 before 10.2.11, from 10.3.0 before 10.3.9, from 11.0.0 before 11.0.8. Drupal core contains a chain of methods that is exploitable when an insecure deserialization vulnerability exists on the site. This so called gadget chain presents no direct threat, but is a vector that can be used to achieve remote code execution if the application deserializes untrusted data due to another vulnerability.

    drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 10.2.11 aktualisieren
    • Auf 10.3.9 aktualisieren
    • Auf 11.0.8 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  8. CVE-2024-55634

    Hoch · CVSS 8.1EPSS 0,41%Korrektur verfügbar

    Drupal core - Moderately critical - Access bypass - SA-CORE-2024-004

    A vulnerability in Drupal Core allows Privilege Escalation.This issue affects Drupal Core: from 8.0.0 before 10.2.11, from 10.3.0 before 10.3.9, from 11.0.0 before 11.0.8.

    drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 10.2.11 aktualisieren
    • Auf 10.3.9 aktualisieren
    • Auf 11.0.8 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  9. CVE-2024-12393

    Mittel · CVSS 5.4EPSS 0,34%Korrektur verfügbar

    Drupal core - Moderately critical - Cross Site Scripting - SA-CORE-2024-003

    Improper Neutralization of Input During Web Page Generation (XSS or 'Cross-site Scripting') vulnerability in Drupal Core allows Cross-Site Scripting (XSS).This issue affects Drupal Core: from 8.8.0 before 10.2.11, from 10.3.0 before 10.3.9, from 11.0.0 before 11.0.8.

    drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 10.2.11 aktualisieren
    • Auf 10.3.9 aktualisieren
    • Auf 11.0.8 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  10. CVE-2024-11942

    Mittel · CVSS 5.9EPSS 0,39%Korrektur verfügbar

    Drupal core - Moderately critical - Improper error handling - SA-CORE-2024-002

    A vulnerability in Drupal Core allows File Manipulation.This issue affects Drupal Core: from 10.0.0 before 10.2.10.

    drupal/core drupal/corePHP
    • Auf 10.2.10 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  11. CVE-2024-11941

    Hoch · CVSS 7.5EPSS 0,48%Korrektur verfügbar

    Drupal core - Moderately critical - Denial of Service - SA-CORE-2024-001

    A vulnerability in Drupal Core allows Excessive Allocation.This issue affects Drupal Core: from 10.2.0 before 10.2.2, from 10.1.0 before 10.1.8.

    drupal/core drupal/core drupal/corePHP
    • Auf 10.1.8 aktualisieren
    • Auf 10.2.2 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  12. CVE-2024-45440

    Mittel · CVSS 5.3EPSS 9,27%Öffentlicher ExploitKorrektur verfügbar

    CVE-2024-45440

    core/authorize.php in Drupal 11.x-dev allows Full Path Disclosure (even when error logging is None) if the value of hash_salt is file_get_contents of a file that does not exist.

    drupal/core drupal/core drupal/corePHP
    • Auf 10.2.9 aktualisieren
    • Auf 10.3.6 aktualisieren
    • Auf 11.0.5 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  13. GHSA-vfgc-c76h-mwh4

    Mittel · CVSS 5.3Korrektur verfügbar

    Drupal core Cross-Site Scripting (XSS) vulnerabilities

    The Drupal project uses the CKEditor, library for WYSIWYG editing. CKEditor has released a security update that impacts Drupal. Vulnerabilities are possible if Drupal is configured to allow use of the CKEditor library for WYSIWYG editing. An attacker that can create or edit content (even without access to CKEditor themselves) may be able to exploit one or more Cross-Site Scripting (XSS) vulnerabilities to target users with access to the WYSIWYG CKEditor, including site admins with privileged access.

    drupal/core drupal/core drupal/corePHP
    • Auf 8.9.18 aktualisieren
    • Auf 9.1.12 aktualisieren
    • Auf 9.2.4 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  14. GHSA-gxxj-g9v8-w28p

    Hoch · CVSS 7.8Korrektur verfügbar

    Drupal core Arbitrary PHP code execution

    The Drupal project uses the PEAR Archive_Tar library. The PEAR Archive_Tar library has released a security update that impacts Drupal. For more information please see: CVE-2020-28948 CVE-2020-28949 Multiple vulnerabilities are possible if Drupal is configured to allow .tar, .tar.gz, .bz2, or .tlz file uploads and processes them. To mitigate this issue, prevent untrusted users from uploading .tar, .tar.gz, .bz2, or .tlz files.

    drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 7.75 aktualisieren
    • Auf 8.8.12 aktualisieren
    • Auf 8.9.10 aktualisieren
    • Auf 9.0.9 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  15. GHSA-6gf6-24h2-66j4

    Mittel · CVSS 4.3Korrektur verfügbar

    Drupal core Open Redirect vulnerability

    Drupal 7 has an Open Redirect vulnerability. For example, a user could be tricked into visiting a specially crafted link which would redirect them to an arbitrary external URL. The vulnerability is caused by insufficient validation of the destination query parameter in the drupal_goto() function. Other versions of Drupal core are not vulnerable.

    drupal/corePHP
    • Auf 7.70 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  16. GHSA-v273-j5hq-26xp

    Mittel · CVSS 4.2Korrektur verfügbar

    Drupal core uses a vulnerable Third-party library CKEditor

    The Drupal project uses the third-party library [CKEditor](https://github.com/ckeditor/ckeditor4), which has released a [security improvement](https://ckeditor.com/blog/CKEditor-4.14-with-Paste-from-LibreOffice-released/#security-issues-fixed) that is needed to protect some Drupal configurations. Vulnerabilities are possible if Drupal is configured to use the WYSIWYG CKEditor for your site's users. An attacker that can create or edit content may be able to exploit this Cross Site Scripting (XSS) vulnerability to target users with access to the WYSIWYG CKEditor, and this may include site admins with privileged access. The latest versions of

    drupal/core drupal/corePHP
    • Auf 8.7.12 aktualisieren
    • Auf 8.8.4 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  17. GHSA-98h9-727m-44qv

    Hoch · CVSS 8.1Korrektur verfügbar

    Drupal core Multiple vulnerabilities due to the use of the third-party library Archive_Tar

    The Drupal project uses the third-party library [Archive_Tar](https://pear.php.net/package/Archive_Tar/), which has released a security improvement that is needed to protect some Drupal configurations. Multiple vulnerabilities are possible if Drupal is configured to allow .tar, .tar.gz, .bz2 or .tlz file uploads and processes them. The latest versions of Drupal update Archive_Tar to 1.4.9 to mitigate the file processing vulnerabilities.

    drupal/core drupal/core drupal/corePHP
    • Auf 7.69 aktualisieren
    • Auf 8.7.11 aktualisieren
    • Auf 8.8.1 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  18. GHSA-mh4h-27gq-cxwj

    Mittel · CVSS 4.3Korrektur verfügbar

    Drupal core Access bypass

    The Media Library module has a security vulnerability whereby it doesn't sufficiently restrict access to media items in certain configurations. Solution: If you are using Drupal 8.7.x, you should upgrade to Drupal 8.7.11. If you are using Drupal 8.8.x, you should upgrade to Drupal 8.8.1. Versions of Drupal 8 prior to 8.7.x are end-of-life and do not receive security coverage. Alternatively, you may mitigate this vulnerability by unchecking the "Enable advanced UI" checkbox on `/admin/config/media/media-library`. (This mitigation is not available in 8.7.x.)

    drupal/core drupal/corePHP
    • Auf 8.7.11 aktualisieren
    • Auf 8.8.1 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  19. GHSA-7gwj-7fhm-vw4w

    Mittel · CVSS 6.6Korrektur verfügbar

    Drupal core unrestricted file upload

    Drupal 8 core's file_save_upload() function does not strip the leading and trailing dot ('.') from filenames, like Drupal 7 did. Users with the ability to upload files with any extension in conjunction with contributed modules may be able to use this to upload system files such as .htaccess in order to bypass protections afforded by Drupal's default .htaccess file. After this fix, file_save_upload() now trims leading and trailing dots from filenames.

    drupal/core drupal/corePHP
    • Auf 8.7.11 aktualisieren
    • Auf 8.8.1 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

Prüfen Sie Ihren Server

Gleichen Sie Ihren installierten Stack und seine Versionen mit den aktuellen Sicherheitsmeldungen ab.

Prüfen Sie Ihren Server →