p PatchFirst

PatchFirst · Aktuelle Sicherheitslücken

Schwachstellen im Stack PHP · Seite 17

In den letzten 30 Tagen veröffentlichte Sicherheitslücken für PHP: 170. Davon im KEV-Katalog: 2.

RSS ↗ JSON ↗
Sicherheitslücken filtern
PHP

Frühwarnungen

Neue Schwachstellenmeldungen aus Herstellerankündigungen und Sicherheitsnachrichten. Diese Warnungen ändern die Sicherheitsbewertung nicht.

  1. php

    Keine Korrektur veröffentlicht

    PHP: Remote-Codeausführung

    Laut OpenNet wurde in PHP eine Sicherheitslücke gefunden: Remote-Codeausführung (CVE-2026-115560). Die betroffenen Versionen sind nicht genau angegeben. Im Bericht wird keine Version mit Fehlerbehebung genannt.

    Was jetzt zu tun ist: Prüfen Sie, ob ein Update für PHP mit der Fehlerbehebung verfügbar ist, und installieren Sie es.

    CVE-2026-115560

    opennet ↗the-hacker-news ↗

Sicherheitslücken: 7182

  1. CVE-2026-53760

    Mittel · CVSS 5.2EPSS 0,17%Keine Korrektur veröffentlicht

    Admidio: CSRF on Plugin Install, Uninstall, and Update via Unprotected GET Requests

    Admidio is an open-source user management solution. In versions 5.0.11 and prior, the modules/plugins.php endpoint handles plugin installation, uninstallation, and update operations via GET requests without CSRF token validation. Because these are top-level navigations, browsers include SameSite=Lax session cookies. An attacker crafts a malicious page that, when an authenticated administrator visits it, triggers arbitrary plugin operations. The uninstall operation executes DROP TABLE SQL scripts and destroys plugin data. This issue has been patched via commit 056b1bd.

    admidio admidio/admidioPHP
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  2. CVE-2026-16647

    Mittel · CVSS 4.1EPSS 0,38%Korrektur verfügbar

    Disable Login Page - Moderately critical - Access bypass - SA-CONTRIB-2026-111

    Authentication Bypass Using an Alternate Path or Channel vulnerability in Drupal Disable Login Page allows Functionality Bypass. This issue affects Disable Login Page versions: from 0.0.0 to 1.1.4.

    disable login page drupal/disable_loginPHP
    • Auf 1.1.4 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  3. CVE-2026-18986

    Mittel · CVSS 4.8EPSS 0,24%Korrektur verfügbar

    Entity Browser - Moderately critical - Cross site scripting - SA-CONTRIB-2026-094

    Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal Entity Browser allows Stored XSS. This issue affects Entity Browser versions: from 0.0.0 to 2.16.0.

    entity browser drupal/entity_browserPHP
    • Auf 2.16.0 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  4. CVE-2026-73475

    Kritisch · CVSS 9.1EPSS 0,4%Korrektur verfügbar

    Commerce PayPal - Moderately critical - Access bypass - SA-CONTRIB-2026-095

    Incorrect Authorization vulnerability in Drupal Commerce PayPal allows Forceful Browsing. This issue affects Commerce PayPal versions: from 0.0.0 to 1.12.0, from 2.0.0 to 2.1.3.

    commerce paypal drupal/commerce_paypalPHP
    • Auf 1.12.0 aktualisieren
    • Auf 2.1.3 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  5. CVE-2026-73478

    Mittel · CVSS 5.3EPSS 0,31%Korrektur verfügbar

    Diff - Moderately critical - Access bypass - SA-CONTRIB-2026-096

    Incorrect Authorization vulnerability in Drupal Diff allows Forceful Browsing. This issue affects Diff versions: from 0.0.0 to 2.0.1, from 2.1.0 to 2.1.1.

    diff drupal/diffPHP
    • Auf 2.0.1 aktualisieren
    • Auf 2.1.1 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  6. CVE-2026-73474

    Mittel · CVSS 5.3EPSS 0,34%Korrektur verfügbar

    Entity Share Websub - Moderately critical - Server-side request forgery (SSRF) - SA-CONTRIB-2026-097

    Server-Side Request Forgery (SSRF) vulnerability in Drupal Entity Share Websub allows Server Side Request Forgery. This issue affects Entity Share Websub versions: from 0.0.0 to 1.1.2.

    entity share websub drupal/entity_share_websubPHP
    • Auf 1.1.2 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  7. CVE-2026-73476

    Mittel · CVSS 5.4EPSS 0,3%Korrektur verfügbar

    External Authentication - Moderately critical - Access bypass - SA-CONTRIB-2026-098

    Improper Handling of Case Sensitivity vulnerability in Drupal External Authentication allows Privilege Escalation. This issue affects External Authentication versions: from 0.0.0 to 2.0.13.

    external authentication drupal/externalauthPHP
    • Auf 2.0.13 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  8. CVE-2026-73477

    Mittel · CVSS 5.3EPSS 0,32%Korrektur verfügbar

    Quick Tabs - Moderately critical - Access bypass - SA-CONTRIB-2026-099

    Incorrect Authorization vulnerability in Drupal Quick Tabs allows Forceful Browsing. This issue affects Quick Tabs versions: from 0.0.0 to 4.3.1.

    quick tabs drupal/quicktabsPHP
    • Auf 4.3.1 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  12. CVE-2026-81167

    Mittel · CVSS 4.8EPSS 0,24%Korrektur verfügbar

    Address Suggestion - Moderately critical - Cross-site scripting - SA-CONTRIB-2026-103

    Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal Address Suggestion allows Cross-Site Scripting (XSS). This issue affects Address Suggestion versions: from 0.0.0 to 1.0.25.

    address suggestion drupal/address_suggestionPHP
    • Auf 1.0.25 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  13. CVE-2026-81165

    Mittel · CVSS 5.3EPSS 0,31%Korrektur verfügbar

    Blazy - Less critical - Access bypass - SA-CONTRIB-2026-104

    Incorrect Authorization vulnerability in Drupal Blazy allows Forceful Browsing. This issue affects Blazy versions: from 0.0.0 to 3.0.18.

    blazy drupal/blazyPHP
    • Auf 3.0.18 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  14. CVE-2026-81168

    Niedrig · CVSS 3.7EPSS 0,32%Korrektur verfügbar

    CAPTCHA Protected Page - Moderately critical - Cookie Forgery - SA-CONTRIB-2026-105

    Authentication Bypass Using an Alternate Path or Channel vulnerability in Drupal CAPTCHA Protected Page allows Functionality Bypass. This issue affects CAPTCHA Protected Page versions: from 0.0.0 to 1.0.2.

    captcha protected page drupal/captcha_protected_pagePHP
    • Auf 1.0.2 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  15. CVE-2026-81159

    Niedrig · CVSS 3.7EPSS 0,26%Korrektur verfügbar

    Commerce CyberSource - Moderately critical - Insufficient input validation - SA-CONTRIB-2026-106

    Observable Timing Discrepancy vulnerability in Drupal Commerce CyberSource allows Brute Force. This issue affects Commerce CyberSource versions: from 0.0.0 to 1.10.0.

    commerce cybersource drupal/commerce_cybersourcePHP
    • Auf 1.10.0 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  16. CVE-2026-81161

    Niedrig · CVSS 3.3EPSS 0,21%Korrektur verfügbar

    Content Moderation Notifications - Moderately critical - Access bypass - SA-CONTRIB-2026-107

    Privilege Defined With Unsafe Actions vulnerability in Drupal Content Moderation Notifications allows Privilege Escalation. This issue affects Content Moderation Notifications versions: from 0.0.0 to 3.9.0.

    content moderation notifications drupal/content_moderation_notificationsPHP
    • Auf 3.9.0 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  18. CVE-2026-81166

    Mittel · CVSS 5.3EPSS 0,31%Korrektur verfügbar

    Digital Signage Framework - Moderately critical - Access bypass - SA-CONTRIB-2026-109

    Missing Authorization vulnerability in Drupal Digital Signage Framework allows Forceful Browsing. This issue affects Digital Signage Framework versions: from 0.0.0 to 2.6.1.

    digital signage framework drupal/digital_signage_frameworkPHP
    • Auf 2.6.1 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  19. CVE-2026-81162

    Mittel · CVSS 5.3EPSS 0,33%Korrektur verfügbar

    DXPR Builder: The AI Visual Page Builder for Drupal - Moderately critical - Information Disclosure - SA-CONTRIB-2026-112

    Insertion of Sensitive Information Into Sent Data vulnerability in Drupal DXPR Builder: The Best Editing (AI) Experience for Drupal allows Forceful Browsing. This issue affects DXPR Builder: The Best Editing (AI) Experience for Drupal versions: from 0.0.0 to 2.8.1.

    dxpr builder: the best editing (ai) experience for drupal drupal/dxpr_builderPHP
    • Auf 2.8.1 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  20. CVE-2026-81158

    Mittel · CVSS 5.3EPSS 0,31%Korrektur verfügbar

    Entity API - Moderately critical - Information disclosure - SA-CONTRIB-2026-113

    Incorrect Authorization vulnerability in Drupal Entity API allows Forceful Browsing. This issue affects Entity API versions: from 0.0.0 to 1.8.0.

    entity api drupal/entityPHP
    • Auf 1.8.0 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

Prüfen Sie Ihren Server

Gleichen Sie Ihren installierten Stack und seine Versionen mit den aktuellen Sicherheitsmeldungen ab.

Prüfen Sie Ihren Server →