Descripción
Drupal Core contiene una vulnerabilidad de inyección SQL que podría permitir el escalamiento de privilegios y la ejecución remota de código (RCE) mediante solicitudes especialmente manipuladas enviadas con la API de abstracción de base de datos.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de drupal.org drupal.org/sa-core-2026-004
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2026-9082
Ver el texto original en inglés (CISA)
Drupal Core SQL Injection Vulnerability
Drupal Core contains a SQL injection vulnerability that could allow for privilege escalation and remote code execution via specially crafted requests sent with the database abstraction API.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://www.drupal.org/sa-core-2026-004 ; https://nvd.nist.gov/vuln/detail/CVE-2026-9082
Otras vulnerabilidades de Drupal en el catálogo
- CVE-2018-7602 Drupal Core Remote Code Execution Vulnerability Alta 13-04-2022
- CVE-2019-6340 Drupal Core Remote Code Execution Vulnerability Alta 25-03-2022
- CVE-2020-13671 Drupal core Un-restricted Upload of File Alta 18-01-2022
- CVE-2018-7600 Drupal Core Remote Code Execution Vulnerability Alta 03-11-2021