最新漏洞 Drupal Field UI 远程代码执行漏洞(CVE-2026-108097)

左右不逢缘 · 发表于 7 天前

马上注册，免费下载更多dz插件网资源。

您需要登录才可以下载或查看，没有账号？立即注册

×

最近漏洞真多啊，哈哈哈，我已经修补了php漏洞又爆出了一个

-
检出方式版本比对漏洞概述Drupal 是使用 PHP 语言编写的开源内容管理框架（CMF），它由内容管理系统（CMS）和 PHP 开发框架（Framework）共同构成。连续多年荣获全球最佳 CMS 大奖，是基于 PHP 语言最著名的 WEB 应用程序。在 Drupal 的 Field UI 模块（field_ui）中，由于 field_ui 表单控制器在处理多步 AJAX 请求时，未能对嵌套表单提交数组中的内部渲染数组键（如 #lazy_builder、#pre_render、#process）进行严格的类型检查和净化，便直接将外部请求参数合并到缓存的表单状态中。当与暴露公共表单接口的贡献模块（如 Entity List）组合时，未经身份验证的攻击者可构造包含恶意渲染数组的嵌套 JSON 载荷，绕过公共表单的 CSRF 令牌验证，将任意 PHP 可调用函数（如 passthru）注入表单状态。随后，Renderer 服务在执行渲染时会调用 call_user_func_array() 触发该恶意载荷，从而实现远程代码执行。注：攻击者要成功利用该漏洞，必须同时满足以下所有条件： (1) 目标站点必须启用（安装）了 Drupal 的 Field UI 模块（field_ui）； (2) 存在暴露公共表单接口的贡献模块（如 Entity List < 2.1.8）或自定义实体处理逻辑，用于构造攻击入口； (3) 攻击者能够通过网络访问目标站点的公共表单接口。

CVSS v3评分8.1(高危)

漏洞影响未经身份验证的远程攻击者利用该漏洞可在 Drupal 服务器上执行任意系统命令，可能导致服务器完全沦陷、敏感数据泄露或植入后门等危害。
CISA KEV 收录•未收录
EPSS 评分0

影响厂商-
影响产品Drupal：>= 8.9.0, < 10.6.19, >= 11.0.0, < 11.3.19, >= 11.4.0, < 11.4.10, >= 12.0.0-alpha1, < 12.0.0-beta2

攻击触发原理Drupal 是使用 PHP 语言编写的开源内容管理框架（CMF），它由内容管理系统（CMS）和 PHP 开发框架（Framework）共同构成。连续多年荣获全球最佳 CMS 大奖，是基于 PHP 语言最著名的 WEB 应用程序。在 Drupal 的 Field UI 模块（field_ui）中，由于 field_ui 表单控制器在处理多步 AJAX 请求时，未能对嵌套表单提交数组中的内部渲染数组键（如 #lazy_builder、#pre_render、#process）进行严格的类型检查和净化，便直接将外部请求参数合并到缓存的表单状态中。当与暴露公共表单接口的贡献模块（如 Entity List）组合时，未经身份验证的攻击者可构造包含恶意渲染数组的嵌套 JSON 载荷，绕过公共表单的 CSRF 令牌验证，将任意 PHP 可调用函数（如 passthru）注入表单状态。随后，Renderer 服务在执行渲染时会调用 call_user_func_array() 触发该恶意载荷，从而实现远程代码执行。注：攻击者要成功利用该漏洞，必须同时满足以下所有条件： (1) 目标站点必须启用（安装）了 Drupal 的 Field UI 模块（field_ui）； (2) 存在暴露公共表单接口的贡献模块（如 Entity List < 2.1.8）或自定义实体处理逻辑，用于构造攻击入口； (3) 攻击者能够通过网络访问目标站点的公共表单接口。
攻击前置条件(1) 目标站点必须启用（安装）了 Drupal 的 Field UI 模块（field_ui）； (2) 存在暴露公共表单接口的贡献模块（如 Entity List < 2.1.8）或自定义实体处理逻辑，用于构造攻击入口； (3) 攻击者能够通过网络访问目标站点的公共表单接口。

修复方案
手动修复修复方案1. 官方已发布修复版本，请评估业务是否受影响后，升级至安全版本https://www.drupal.org/sa-core-2026-0142. 缓解措施：(1) 立即使用 Composer 升级 Drupal Core 至修复版本（11.4.10、11.3.19、10.6.19 或 12.0.0-beta2），并升级 Entity List 至 2.1.8 或更高；(2) 若无法立即升级，可通过 Drush 紧急卸载 field_ui 模块（drush pm:uninstall field_ui -y 并重建缓存），该模块仅用于后台字段配置，卸载不影响前端内容展示；(3) 在 Nginx/Apache 层限制外部 IP 访问 Field UI 管理路由，仅允许可信管理网段访问；(4) 部署 RASP 工具或在 PHP 配置中禁用危险执行函数（如 passthru、system、exec、proc_open）；(5) 严格限制 “Administer content types” 和 “Administer fields” 权限，仅授予经过 MFA 验证的管理员账户。

©DZ插件网所发布的一切资源仅限用于学习和研究目的；不得将上述内容用于商业或者非法用途，否则，一切后果请用户自负。
本站内容为站长个人技术研究记录或网络，不提供用户交互功能，所有内容版权归原作者所有。您必须在下载后的24个小时之内，从您的电脑中彻底删除上述内容。如果您喜欢该程序，请支持正版软件，得到更好的正版服务。
您在本站任何的赞助购买、下载、查阅、回复等行为等均表示接受并同意签订《DZ插件网免责声明协议》。
如有侵权请邮件与我们联系处理: discuzaddons@vip.qq.com 并出示相关证明以便删除。敬请谅解！