Zurück zur Übersicht

Mittel25 / 100Konfidenz: Mittel

CVSS8.1EPSS0.6 %Über Netz erreichbarOhne AnmeldungOhne Zutun des Nutzers

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 8.1+15
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-108097, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-10-16 00:00 UTCMethodik

Multiples vulnérabilités dans Drupal (15 octobre 2026)

CERT-FR·15. Oktober 2026, 00:00

Originalartikel lesen bei CERT-FR

Mehrere kritische Sicherheitslücken wurden in Drupal entdeckt, die eine Remote-Code-Ausführung und XSS-Angriffe ermöglichen. Betroffen sind Drupal-Versionen 10.6.x (unter 10.6.19), 11.3.x (unter 11.3.19) und 11.4.x (unter 11.4.10). Administratoren sollten umgehend die vom Hersteller bereitgestellten Sicherheitsupdates installieren, um ihre Systeme zu schützen.

Key Facts

CVE-2026-108097

CVSS: 8.1 · HIGH
EPSS: 0.6%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: mlhess@drupal.org

CVE-2026-108514

CVSS: 6.5 · MEDIUM
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: mlhess@drupal.org

CVE-2026-108515

CVSS: 6.5 · MEDIUM
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: mlhess@drupal.org

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Möglich
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Möglich
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Sind wir hiervon betroffen — und können wir es detektieren?

Quellen & Belege· 1 Quelle

CERT-FRKontextUNKNOWNdiese Meldung

Quelle nicht eingeordnet.

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-108097 CVE-2026-108514 CVE-2026-108515

Vollständigen Artikel lesen bei CERT-FR

Erwähnte CVEs (3)

CVE-2026-108097HIGH(8.1)

EPSS 0.6%

Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') vulnerability in Drupal Drupal core allows Reflection Injection. This issue affects Drupal core versions: from 8.9.0 to 10.6.19, from 11.0.0 to 11.3.19, from 11.4.0 to 11.4.10, from 12.0.0-alpha1 to 12.0.0-beta2.

CVE-2026-108514MEDIUM(6.5)

EPSS 0.2%

Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal Drupal core allows Cross-Site Scripting (XSS). This issue affects Drupal core versions: from 10.3.0 to 10.6.19, from 11.0.0 to 11.3.19, from 11.4.0 to 11.4.10, from 12.0.0-alpha1 to 12.0.0-beta2.

CVE-2026-108515MEDIUM(6.5)

EPSS 0.2%

Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal Drupal core allows Cross-Site Scripting (XSS). This issue affects Drupal core versions: from 8.9.0 to 10.6.19, from 11.0.0 to 11.3.19, from 11.4.0 to 11.4.10, from 12.0.0-alpha1 to 12.0.0-beta2.