Drupal कोर में एक संभावित PHP ऑब्जेक्ट इंजेक्शन (PHP Object Injection) भेद्यता है

CVE-2024-55636 Drupal कोर को प्रभावित करता है, जो संभावित PHP ऑब्जेक्ट इंजेक्शन भेद्यता प्रस्तुत करता है। यदि इसे किसी अन्य शोषण के साथ जोड़ा जाता है, तो यह मनमाना फ़ाइल हटाने का कारण बन सकता है। यह ध्यान रखना महत्वपूर्ण है कि यह भेद्यता वर्तमान में सीधे शोषण योग्य नहीं है। CVSS स्कोर को 9.8 पर रेट किया गया है, जो उच्च जोखिम दर्शाता है, लेकिन पूर्व शर्त की आवश्यकता तत्काल प्रभाव को काफी हद तक सीमित करती है।

Organizations running Drupal Core versions 9.5.9 and earlier, particularly those with complex module configurations or custom code that might introduce vulnerabilities allowing input to unserialize(), are at risk. Shared hosting environments utilizing Drupal Core are also potentially vulnerable due to the shared nature of the infrastructure.

1. 2024-12-10Disclosure

   disclosure

1. आरक्षित2024-12-09
2. प्रकाशित2024-12-10
3. संशोधित2025-12-10
4. EPSS अद्यतन2026-04-02

मुख्य शमन इस तथ्य में निहित है कि इस भेद्यता का शोषण करने के लिए, एक अलग भेद्यता मौजूद होनी चाहिए जो हमलावर को unserialize() फ़ंक्शन को असुरक्षित इनपुट पारित करने की अनुमति देती है। वर्तमान में, Drupal कोर में कोई ज्ञात शोषण नहीं है जो इस आवश्यकता को पूरा करता है। Drupal ने निवारक उपाय लागू किए हैं, जिसमें इसके कुछ घटकों में गुणों में प्रकारों को जोड़ना शामिल है, ताकि सुरक्षा को मजबूत किया जा सके और हमले की सतह को कम किया जा सके।