Drupal कोर में एक संभावित PHP ऑब्जेक्ट इंजेक्शन (PHP Object Injection) भेद्यता है

CVE-2024-55638 Drupal Core में संभावित PHP ऑब्जेक्ट इंजेक्शन भेद्यता की पहचान करता है। हालांकि यह भेद्यता अपने आप में सीधे तौर पर शोषण योग्य नहीं है, लेकिन अगर इसे किसी अन्य शोषण के साथ जोड़ा जाए जो हमलावर को unserialize() फ़ंक्शन को असुरक्षित इनपुट पास करने की अनुमति देता है, तो यह रिमोट कोड एग्जीक्यूशन (RCE) का कारण बन सकता है। इस भेद्यता को CVSS पैमाने पर 9.8 के रूप में रेट किया गया है, जो एक गंभीर जोखिम दर्शाता है। यह ध्यान रखना महत्वपूर्ण है कि Drupal Core में वर्तमान में कोई ज्ञात शोषण नहीं है जो इस प्रकार के इंजेक्शन को सीधे अनुमति देता है। संस्करण 10.2.11 में अपडेट करना प्राथमिक शमन उपाय है।

1. आरक्षित2024-12-09
2. प्रकाशित2024-12-10
3. संशोधित2025-12-10
4. EPSS अद्यतन2026-04-02

CVE-2024-55638 के लिए प्राथमिक शमन उपाय Drupal Core को संस्करण 10.2.11 या उच्चतर में अपडेट करना है। इस अपडेट में PHP ऑब्जेक्ट इंजेक्शन को रोकने में मदद करने के लिए अतिरिक्त जांच शामिल है। हालांकि Drupal Core में इस भेद्यता का सीधे शोषण करने के लिए कोई ज्ञात शोषण नहीं है, लेकिन कोर को अपडेट रखना एक बुनियादी सुरक्षा अभ्यास है। इसके अतिरिक्त, यह अनुशंसा की जाती है कि unserialize() में असुरक्षित डेटा को इंजेक्ट करने की अनुमति दे सकने वाले संभावित भेद्यताओं के लिए स्थापित तृतीय-पक्ष मॉड्यूल की जांच की जाए। Drupal साइट की सुरक्षा बनाए रखने के लिए निरंतर निगरानी और पैचिंग महत्वपूर्ण है।