Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Drupal (CVE-2019-6340)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-502 Deserialización de datos no confiables
Fecha de publicación:
21/02/2019
Última modificación:
07/02/2025

Descripción

Algunos tipos de campos no sanean correctamente los datos provenientes de fuentes "non-form" en Drupal en sus versiones 8.5.x anteriores a la 8.5.11 y en las versiones 8.6.x anteriores a la 8.6.10. Esto puede provocar, en algunos casos, la ejecución de código PHP. Un sitio solo se ve afectado por esto si se cumple una de las siguientes condiciones. Este sitio tiene el módulo Drupal 8 core RESTful Web Services (rest) habilitado y permite peticiones PATCH o POST, o el sitio tiene otro módulo de servicios web habilitado, como JSON:API en Drupal 8 o Services o RESTful Web Services en Drupal 7. (Nota: El módulo de Drupal 7 Services mismo no precisa una actualización en este momento. Sin embargo, se deberían instalar otras actualizaciones contribuidas que estén asociadas con este aviso si "Service" se encuentra en uso.)

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:drupal:drupal:*:*:*:*:*:*:*:* 8.5.0 (incluyendo) 8.5.11 (excluyendo)
cpe:2.3:a:drupal:drupal:*:*:*:*:*:*:*:* 8.6.0 (incluyendo) 8.6.10 (excluyendo)