- Aktif istismar
- Yama var
- CWE-502
CVE-2019-6340
Drupal core'da kimi alan türlerinde uzaktan kod çalıştırma açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2805 gün
- Kaydı açan
- drupal
ÖzetTürkçe
Drupal 8.5.x (8.5.11 öncesi) ve Drupal 8.6.x (8.6.10 öncesi) sürümlerinde bazı alan türleri, form dışı kaynaklardan gelen verileri düzgün şekilde temizlemez. Bu durum bazı durumlarda rastgele PHP kodunun çalıştırılmasına yol açabilir. Sitenin bu açıktan etkilenmesi için aşağıdaki koşullardan birinin sağlanması gerekir: Sitede Drupal 8 core RESTful Web Services (rest) modülü etkinse ve PATCH veya POST isteklerine izin veriliyorsa; ya da sitede Drupal 8 için JSON:API, Drupal 7 için ise Services veya RESTful Web Services gibi başka bir web servisi modülü etkinse. (Not: Drupal 7 Services modülünün kendisi şu an için bir güncelleme gerektirmez; ancak Services kullanılıyorsa, bu danışmanlıkla ilgili diğer katkı güncellemelerinin uygulanması önerilir.)
Kaynaktaki açıklama (İngilizce)
Some field types do not properly sanitize data from non-form sources in Drupal 8.5.x before 8.5.11 and Drupal 8.6.x before 8.6.10. This can lead to arbitrary PHP code execution in some cases. A site is only affected by this if one of the following conditions is met: The site has the Drupal 8 core RESTful Web Services (rest) module enabled and allows PATCH or POST requests, or the site has another web services module enabled, like JSON:API in Drupal 8, or Services or RESTful Web Services in Drupal 7. (Note: The Drupal 7 Services module itself does not require an update at this time, but you should apply other contributed updates associated with this advisory if Services is in use.)
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Drupal core | ≥ 8.5, < 8.5.11 | 8.5.11 |
| ≥ 8.6, < 8.6.10 | 8.6.10 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- exploit-db.com/exploits/46452 İstismar kodu ya da analiz
- exploit-db.com/exploits/46510 İstismar kodu ya da analiz
- exploit-db.com/exploits/46459 İstismar kodu ya da analiz
- synology.com/security/advisory/Synology_SA_19_09 Diğer
- drupal.org/sa-core-2019-003 Diğer
- securityfocus.com/bid/107106 Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.