Обычное дополнение к Drupal способно превратить ошибку ядра в путь к удаленному запуску кода без входа в систему. Команда проекта 14 октября закрыла критическую уязвимость в Field UI, которая становится опасной в сочетании с дополнительными модулями или собственным кодом сайта.
Для одного из известных путей атаки учетная запись не требуется.
Проблема получила идентификатор CVE-2026-108097 и оценку 9,8 балла по CVSS 3.1. По собственной шкале Drupal риск составляет 19 из 25 и относится к критическому уровню.
Команда Drupal подтвердила, что уязвимость находится в штатном модуле Field UI, через который администраторы управляют полями контента и их отображением на страницах.
🖥 Читать материал
☑️ Записки Безопасника ⭐️ max.ru/infosec_globe