CVE-2019-6340· NVD / CVE Program· CNA drupal

Drupal core - Highly critical - Remote Code Execution

Some field types do not properly sanitize data from non-form sources in Drupal 8.5.x before 8.5.11 and Drupal 8.6.x before 8.6.10. This can lead to arbitrary PHP code execution in some cases. A site is only affected by this if one of the following conditions is met: The site has the Drupal 8 core RESTful Web Services (rest) module enabled and allows PATCH or POST requests, or the site has another web services module enabled, like JSON:API in Drupal 8, or Services or RESTful Web Services in Drupal 7. (Note: The Drupal 7 Services module itself does not require an update at this time, but you should apply other contributed updates associated with this advisory if Services is in use.)

ВысокаяCVSS 8.1 · v3.1KEVГотовый эксплойт Есть исправление

Опубликовано: 21 февр. 2019 г.
Обновлено: 16 июн. 2026 г.
EPSS: 92,0 % · 100-й процентиль
CWE: CWE-502

Следить за этой CVE

Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.

Инструменты для отчёта

JSON

Оценка срочности

Срочно

Установите исправление сегодня или закройте доступ.

CVSS: 32 / 40 · 8.1 / 10
CISA KEV: 30 / 30 · В списке
EPSS: 28 / 30 · 92,0 %

Решение CISA SSVC

Эксплуатация: активная
Автоматизируемо: нет
Техническое влияние: полное

Vulnrichment: входные данные дерева решений CISA.

Активно эксплуатируется

CISA добавило это в каталог активно эксплуатируемых уязвимостей (KEV) 25 мар. 2022 г.. Это указывает на реальные атаки, а не теорию.

Срок устранения для госорганов: 15 апр. 2022 г..

Затронутые системы

Вендор	Продукт	CPE
drupal	drupal	cpe:2.3:a:drupal:drupal

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

drupal drupal8.5.0 и новее · до 8.5.11
drupal drupal8.6.0 и новее · до 8.6.10

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (drupal). Не зависят от анализа CPE в NVD и обычно опережают его.

Drupal Drupal Core
- 8.5 и новее · до 8.5.11затронута
- 8.6 и новее · до 8.6.10затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Packagist	drupal/core	с 7.0.0 · до 7.62.0	7.62.0
Packagist	drupal/core	с 8.0.0 · до 8.5.11	8.5.11
Packagist	drupal/core	с 8.6.0 · до 8.6.10	8.6.10
Packagist	drupal/drupal	с 7.0.0 · до 7.62.0	7.62.0
Packagist	drupal/drupal	с 8.0.0 · до 8.5.11	8.5.11
Packagist	drupal/drupal	с 8.6.0 · до 8.6.10	8.6.10

Тот же продукт

drupal: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2018-7602Drupal core - Highly critical - Remote Code Execution - SA-CORE-2018-004KEV
99Срочно
CVE-2018-7600Drupal before 7.58, 8.x before 8.3.9, 8.4.x before 8.4.6, and 8.5.x before 8.5.1 allows remote attackers to execute arbitrary code because oKEV
99Срочно
CVE-2020-13671Drupal core does not properly sanitize certain filenames on uploaded files, which can lead to files being interpreted as the incorrect extenKEV
76На этой неделе
CVE-2026-9082Drupal core - Highly critical - SQL injection - SA-CORE-2026-004KEV
74На этой неделе
CVE-2014-3704The expandArguments function in the database abstraction API in Drupal core 7.x before 7.32 does not properly construct prepared statements,
60На этой неделе
CVE-2019-6339PHAR stream wrapper Arbitrary PHP code execution
50В плане

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
Packagist:drupal/core	7.62.0	Реестр пакетов (OSV)
Packagist:drupal/core	8.5.11	Реестр пакетов (OSV)
Packagist:drupal/core	8.6.10	Реестр пакетов (OSV)
Packagist:drupal/drupal	7.62.0	Реестр пакетов (OSV)
Packagist:drupal/drupal	8.5.11	Реестр пакетов (OSV)
Packagist:drupal/drupal	8.6.10	Реестр пакетов (OSV)

Статус эксплойта

Готовый эксплойт

Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.

Доказательство

Модуль Metasploit ×1
Запись Exploit-DB ×4
Шаблон обнаружения Nuclei ×1
Репозиторий PoC на GitHub ×11

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Запись Exploit-DB	remote	2019-03-07
Запись Exploit-DB	remote	2019-03-07
Запись Exploit-DB	webapps	2019-02-23
Запись Exploit-DB	webapps	2019-02-25
Модуль Metasploit	exploit/unix/webapp/drupal_restws_unserializeDrupal RESTful Web Services unserialize() RCEexploit	2019-02-20
Шаблон обнаружения Nuclei	Шаблон Nuclei CVE-2019-6340	—
Репозиторий PoC на GitHub	stars:30	2019-02-22
Репозиторий PoC на GitHub	stars:42	2019-02-23
Репозиторий PoC на GitHub	stars:2	2019-02-25
Репозиторий PoC на GitHub	stars:12	2019-02-25
Репозиторий PoC на GitHub	stars:0	2019-02-26
Репозиторий PoC на GitHub	stars:0	2019-03-12

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Metasploit20 февр. 2019 г.-2 дн.
Публикация21 февр. 2019 г.
Первый PoC22 февр. 2019 г.в тот же день
CISA KEV25 мар. 2022 г.+1127 дн.
Сегодня30 сент. 2026 г.+2778 дн.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Действия пользователя не требуются.
Требуются особые условия, например определённое время или конфигурация.

В случае успеха

Конфиденциальность: высокое · данные могут быть прочитаны
Целостность: высокое · данные или конфигурация могут быть изменены
Доступность: высокое · работа сервиса может быть нарушена

Вектор атаки: Сеть
Сложность атаки: Высокая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Не требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Высокое
Влияние на целостность: Высокое
Влияние на доступность: Высокое

Класс уязвимости (CWE)

CWE-502 · Deserialization of Untrusted Data

Вектор CVSS

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

nvd-primary

Первопричина

Данные, полученные по сети, десериализуются в собственный объектный формат языка без проверки источника. Во время десериализации могут быть задействованы пути выполнения кода внутри объекта.

Ошибка в коде

Весь класс CWE-502

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

python

1payload = sock.recv(65536)2job = pickle.loads(payload)

Исправленный код

python

1payload = sock.recv(65536)2if not hmac.compare_digest(sign(payload), header_sig):3    raise PermissionError("недействительная подпись")4job = JobSchema.validate(json.loads(payload))

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Object InjectionCAPEC-586вероятность: Medium · High

Техники ATT&CK

—

Анализ Noroxi

Анализа Noroxi для этой записи пока нет

Мы не пишем анализ вручную для всех 385 000+ уязвимостей; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.

Мы используем этот продукт, нужна помощь

Журнал изменений

Исправление✗ → ✓28 сент. 2026 г., 22:45 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Источники данных и проверка

CNA: drupal

CVE.org (CNA)21 окт. 2025 г., 23:45 UTC
CISA ADP21 окт. 2025 г., 23:45 UTC
NVD16 июн. 2026 г., 22:39 UTC
OSV / GHSA30 сент. 2026 г., 03:23 UTC
Exploit-DB30 сент. 2026 г., 03:18 UTC
Metasploit30 сент. 2026 г., 03:18 UTC
Nuclei30 сент. 2026 г., 03:18 UTC
PoC-in-GitHub30 сент. 2026 г., 03:18 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.

Вы видите все CVE. Добавьте свой стек, чтобы оставить только те, что касаются вас.

Добавьте свой стек