p PatchFirst

PatchFirst · Aktuelle Sicherheitslücken

Schwachstellen im Stack PHP

In den letzten 30 Tagen veröffentlichte Sicherheitslücken für PHP: 194. Davon im KEV-Katalog: 0.

RSS ↗
Sicherheitslücken filtern
PHP

Sicherheitslücken: 7182

  1. GHSA-mhf7-xp6r-6qrc

    Mittel · CVSS 6.5Korrektur verfügbar

    Livewire: Authorization bypass in #[Authorize] via reordered parameter keys and #[Json] execution order

    ### Impact Three issues allowed actions protected by the `#[Authorize]` attribute to run against records the current user is not authorized for: 1. **Out-of-order parameter keys on actions.** `#[Authorize]` resolved a model parameter by its array key, while the action itself received parameters positionally. A request sending params as an object with reordered integer keys (e.g. `{"1": 2, "0": 1}`) could pass authorization with a record the user owns while the action received a different record. With `#[Authorize('delete', 'comment')]` on `deleteComment(Comment $comment)`, a user could delete another user's comment. 2. **The same issue on e

    livewire/livewirePHP
    • Auf 4.4.8 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  3. CVE-2026-84911

    Niedrig · CVSS 3.1EPSS 0,15%Korrektur verfügbar

    AI (Artificial Intelligence) - Moderately critical - Cross site scripting - SA-CONTRIB-2026-119

    Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal AI (Artificial Intelligence) allows Stored XSS. This issue affects AI (Artificial Intelligence) versions: from 0.0.0 to 1.3.13, from 1.4.0 to 1.4.8.

    ai (artificial intelligence) drupal/aiPHP
    • Auf 1.3.13 aktualisieren
    • Auf 1.4.8 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  4. CVE-2026-84912

    Mittel · CVSS 4.6EPSS 0,15%Korrektur verfügbar

    AI (Artificial Intelligence) - Moderately critical - Access Bypass - SA-CONTRIB-2026-120

    Missing Authorization vulnerability in Drupal AI (Artificial Intelligence) allows Forceful Browsing. This issue affects AI (Artificial Intelligence) versions: from 0.0.0 to 1.3.13, from 1.4.0 to 1.4.8.

    ai (artificial intelligence) drupal/aiPHP
    • Auf 1.3.13 aktualisieren
    • Auf 1.4.8 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  5. CVE-2026-84913

    Mittel · CVSS 4.6EPSS 0,15%Korrektur verfügbar

    AI translate - Moderately critical - Access Bypass - SA-CONTRIB-2026-121

    Missing Authorization vulnerability in Drupal AI Translate allows Forceful Browsing. This issue affects AI Translate versions: from 0.0.0 to 1.3.2, from 1.4.0 to 1.4.1.

    ai translate drupal/ai_translatePHP
    • Auf 1.3.2 aktualisieren
    • Auf 1.4.1 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  7. CVE-2026-84915

    Mittel · CVSS 4.6EPSS 0,16%Korrektur verfügbar

    Component blocks - Moderately critical - Cross site scripting - SA-CONTRIB-2026-123

    Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal Component blocks allows Stored XSS. This issue affects Component blocks versions: from 0.0.0 to 1.2.7.

    component blocks drupal/component_blocksPHP
    • Auf 1.2.7 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  8. CVE-2026-84923

    Mittel · CVSS 6.5EPSS 0,25%Korrektur verfügbar

    Email Verification / SMS Verification / OTP Verification - Critical - Access Bypass - SA-CONTRIB-2026-124

    Authentication Bypass Using an Alternate Path or Channel vulnerability in Drupal Email Verification / SMS Verification / OTP Verification allows Authentication Bypass. This issue affects Email Verification / SMS Verification / OTP Verification versions: from 0.0.0 to 2.4.0.

    email verification / sms verification / otp verification drupal/otp_verificationPHP
    • Auf 2.4.0 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  9. CVE-2026-84924

    Mittel · CVSS 5.4EPSS 0,18%Korrektur verfügbar

    Email Verification / SMS Verification / OTP Verification - Critical - Cross Site Scripting - SA-CONTRIB-2026-125

    Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal Email Verification / SMS Verification / OTP Verification allows Reflected XSS. This issue affects Email Verification / SMS Verification / OTP Verification versions: from 0.0.0 to 2.4.0.

    email verification / sms verification / otp verification drupal/otp_verificationPHP
    • Auf 2.4.0 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  10. CVE-2026-84916

    Niedrig · CVSS 3.7EPSS 0,2%Korrektur verfügbar

    Islandora - Moderately critical - Access bypass - SA-CONTRIB-2026-126

    Missing Authorization vulnerability in Drupal Islandora allows Forceful Browsing. This issue affects Islandora versions: from 0.0.0 to 2.19.0.

    islandora drupal/islandoraPHP
    • Auf 2.19.0 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  12. CVE-2026-16648

    Niedrig · CVSS 3.8EPSS 0,2%Korrektur verfügbar

    Mailer Plus Log - Moderately critical - Access bypass - SA-CONTRIB-2026-128

    Insertion of Sensitive Information into Log File vulnerability in Drupal Mailer Plus Log allows Remote Services with Stolen Credentials. This issue affects Mailer Plus Log versions: from 0.0.0 to 1.2.7.

    mailer plus log drupal/symfony_mailer_logPHP
    • Auf 1.2.7 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  13. CVE-2026-81163

    Mittel · CVSS 5.4EPSS 0,22%Korrektur verfügbar

    Media Library Importer - Moderately critical - Access bypass - SA-CONTRIB-2026-129

    Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in Drupal Media Library Importer allows Path Traversal. This issue affects Media Library Importer versions: from 0.0.0 to 2.1.6.

    media library importer drupal/media_library_importerPHP
    • Auf 2.1.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  14. CVE-2026-84918

    Niedrig · CVSS 3.7EPSS 0,13%Korrektur verfügbar

    Monobank payment API - Moderately critical - Access bypass - SA-CONTRIB-2026-130

    Improper Verification of Cryptographic Signature vulnerability in Drupal Monobank payment API allows Signature Spoof. This issue affects Monobank payment API versions: from 0.0.0 to 1.0.3.

    monobank payment api drupal/monobankPHP
    • Auf 1.0.3 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  15. CVE-2026-84919

    Mittel · CVSS 4.6EPSS 0,16%Korrektur verfügbar

    PhotoSwipe - Responsive JavaScript Modal Image Gallery - Moderately critical - Cross-site scripting - SA-CONTRIB-2026-131

    Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal PhotoSwipe - Responsive JavaScript Modal Image Gallery allows Stored XSS. This issue affects PhotoSwipe - Responsive JavaScript Modal Image Gallery versions: from 0.0.0 to 5.0.9.

    photoswipe - responsive javascript modal image gallery drupal/photoswipePHP
    • Auf 5.0.9 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  16. CVE-2026-84920

    Mittel · CVSS 5.3EPSS 0,23%Korrektur verfügbar

    Unpublished Node Permissions - Critical - Access bypass - SA-CONTRIB-2026-132

    Incorrect Authorization vulnerability in Drupal Unpublished Node Permissions allows Forceful Browsing. This issue affects Unpublished Node Permissions versions: from 0.0.0 to 1.8.0.

    unpublished node permissions drupal/unpublished_node_permissionsPHP
    • Auf 1.8.0 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  17. CVE-2026-84921

    Mittel · CVSS 5.3EPSS 0,29%Korrektur verfügbar

    Webform Submissions Delete - Moderately critical - Access bypass - SA-CONTRIB-2026-133

    Missing Authorization vulnerability in Drupal Webform Submissions Delete allows Forceful Browsing. This issue affects Webform Submissions Delete versions: from 0.0.0 to 1.2.0.

    webform submissions delete drupal/webform_submissions_deletePHP
    • Auf 1.2.0 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  18. CVE-2026-87936

    Mittel · CVSS 6.5EPSS 0,21%Korrektur verfügbar

    amazee.ai Private AI Provider - Critical - SQL injection - SA-CONTRIB-2026-134

    Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Drupal amazee.ai Private AI Provider allows SQL Injection. This issue affects amazee.ai Private AI Provider versions: from 0.0.0 to 1.3.7, from 1.4.0 to 1.4.3.

    amazee.ai private ai provider drupal/ai_provider_amazeeioPHP
    • Auf 1.3.7 aktualisieren
    • Auf 1.4.3 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  19. CVE-2026-87937

    Mittel · CVSS 6.5EPSS 0,23%Korrektur verfügbar

    Central Authentication System (CAS) Server - Moderately critical - Open redirect - SA-CONTRIB-2026-135

    URL Redirection to Untrusted Site ('Open Redirect') vulnerability in Drupal Central Authentication System (CAS) Server allows Fake the Source of Data. This issue affects Central Authentication System (CAS) Server versions: from 0.0.0 to 2.0.4, from 2.1.0 to 2.1.3.

    central authentication system (cas) server drupal/cas_serverPHP
    • Auf 2.0.4 aktualisieren
    • Auf 2.1.3 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  20. CVE-2026-87938

    Nicht bewertetEPSS 0,17%Korrektur verfügbar

    CSP log - Critical - SQL Injection - SA-CONTRIB-2026-136

    Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Drupal CSP log allows SQL Injection. This issue affects CSP log versions: from 0.0.0 to 1.0.2.

    csp log drupal/csp_logPHP
    • Auf 1.0.2 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

Prüfen Sie Ihren Server

Gleichen Sie Ihren installierten Stack und seine Versionen mit den aktuellen Sicherheitsmeldungen ab.

Prüfen Sie Ihren Server →