NVD / CVE Programı· CNA drupal

CVE-2020-13671: Drupal core does not properly sanitize certain filenames on uploaded files, which can lead to files being interpreted as the incorrect…

YüksekCVSS 8.8 · v3.1KEVSilahlaştırılmış Düzeltme var

Noroxi değerlendirmesi

Öncelik: Bu hafta (aksiyon skoru 74/100)

CISA bu açığın sahada sömürüldüğünü doğruladı (18 Oca 2022). ABD kamu kurumları için kapatma son tarihi 18 Tem 2022.
Önümüzdeki 30 günde sömürülme olasılığı %30,9 (FIRST EPSS); kayıtların %98,2 kadarından yüksek.
İnternetten erişebilen herkes tetikleyebilir. Düşük yetkili bir hesap yeterli. Kullanıcının bir şey yapması gerekmez. Özel bir koşul gerekmez; tekrarlanabilir.
Düzeltilmiş sürüm: drupal7 (Alpine:v3.11) 7.74-r0; drupal7 (Debian:9) 7.52-2+deb9u12; drupal/core (Packagist) 7.74, 8.8.11, 8.9.9.
Ulusal siber güvenlik bildirimlerinde (siberguvenlik.gov.tr) 2 kez anıldı.

Bir sonraki bakım penceresini beklemeyin. drupal7 (Alpine:v3.11) 7.74-r0; drupal7 (Debian:9) 7.52-2+deb9u12; drupal/core (Packagist) 7.74, 8.8.11, 8.9.9 ya da daha yeni sürüme yükseltin.

Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz

Birincil kaynaklar: NVD · CVE.org · CISA KEV · FIRST EPSS

Drupal core does not properly sanitize certain filenames on uploaded files, which can lead to files being interpreted as the incorrect extension and served as the wrong MIME type or executed as PHP for certain hosting configurations. This issue affects: Drupal Drupal Core 9.0 versions prior to 9.0.8, 8.9 versions prior to 8.9.9, 8.8 versions prior to 8.8.11, and 7 versions prior to 7.74.

Dosya yükleme

Yayın: 20 Kas 2020
Güncelleme: 16 Haz 2026
EPSS: %30,9 · 98. yüzdelik
CWE: CWE-434

Rapor araçları

JSON

Aksiyon skoru

Bu hafta

Bir sonraki bakım penceresini beklemeyin.

CVSS: 35 / 40 · 8.8 / 10
CISA KEV: 30 / 30 · Listede
EPSS: 9 / 30 · %30,9

CISA SSVC kararı

Sömürü: aktif
Otomatikleştirilebilir: hayır
Teknik etki: tam

Vulnrichment: CISA'nın karar ağacı girdileri.

Sahada aktif sömürülüyor

CISA bu zafiyeti 18 Oca 2022 tarihinde fiilen sömürülen zafiyetler kataloğuna (KEV) ekledi. Bu, teoriyi değil, gerçek saldırıları işaret eder.

ABD federal kurumları için son yama tarihi: 18 Tem 2022.

Bu kayıt değişirse haber alın

CISA KEV'de: sahada sömürüldüğü doğrulandı
Silahlaştırılmış istismar var
Düzeltme yayımlandı

Bunlardan biri değişirse günlük e-posta özetinde haber veririz.

Sürümünüz etkileniyor mu? Kontrol edin

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.

Bu ürünü kullanıyoruz, yardım isteyin

Etkilenen sistemler

Sürümünüz etkileniyor mu?

Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.

Üretici	Ürün	CPE
drupal	drupal	cpe:2.3:a:drupal:drupal
fedoraproject	fedora	cpe:2.3:o:fedoraproject:fedora

Üreticinin bildirdiği sürümler

Kaydı açan otorite (drupal) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

Drupal Drupal Core
- 9.0 versions prior to 9.0.8, 8.9 versions prior to 8.9.9, 8.8 versions prior to 8.8.11, 7 versions prior to 7.74etkilenir

Etkilenen sürümler · NVD (6)

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.

drupal drupal7.0 ve sonrası · 7.74 öncesi
drupal drupal8.8.0 ve sonrası · 8.8.11 öncesi
drupal drupal8.9.0 ve sonrası · 8.9.9 öncesi
drupal drupal9.0.0 ve sonrası · 9.0.8 öncesi
fedoraproject fedora32
fedoraproject fedora33

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Ekosistem	Paket	Etkilenen aralık	Düzeltme
Alpine:v3.11	drupal7	7.74-r0 öncesi	7.74-r0
Debian:9	drupal7	7.52-2+deb9u12 öncesi	7.52-2+deb9u12
Packagist	drupal/core	7.0.0 itibarıyla · 7.74 öncesi	7.74
Packagist	drupal/core	8.0.0 itibarıyla · 8.8.11 öncesi	8.8.11
Packagist	drupal/core	8.9.0 itibarıyla · 8.9.9 öncesi	8.9.9
Packagist	drupal/core	9.0.0 itibarıyla · 9.0.8 öncesi	9.0.8
Packagist	drupal/drupal	7.0.0 itibarıyla · 7.74 öncesi	7.74
Packagist	drupal/drupal	8.0.0 itibarıyla · 8.8.11 öncesi	8.8.11
Packagist	drupal/drupal	8.9.0 itibarıyla · 8.9.9 öncesi	8.9.9
Packagist	drupal/drupal	9.0.0 itibarıyla · 9.0.8 öncesi	9.0.8

Aynı üründe

drupal: tüm kayıtlar

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

CVE-2018-7602Drupal core - Highly critical - Remote Code Execution - SA-CORE-2018-004KEV
99Hemen
CVE-2018-7600Drupal before 7.58, 8.x before 8.3.9, 8.4.x before 8.4.6, and 8.5.x before 8.5.1 allows remote attackers to execute arbitrary code because…KEV
99Hemen
CVE-2026-9082Drupal core - Highly critical - SQL injection - SA-CORE-2026-004KEV
96Hemen

Bu üründe bundan önce ve sonra yayımlananlar

← ÖncekiCVE-2011-272615 Kas 2019 · An access bypass issue was found in Drupal 7.x before version 7.5.
30İzleyin
← ÖncekiCVE-2019-634228 May 2020 · Drupal core - Critical - Access bypass - SA-CORE-2019-008
40Planlayın
Sonraki →CVE-2020-136665 May 2021 · Cross-site scripting vulnerability in Drupal Core.
25İzleyin

Düzeltme

Hangi sürüme geçmeli

Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.

Ürün / paket	Düzeltilmiş sürüm	Kaynak
alpine:drupal7	7.74-r0 · Alpine:v3.11	Paket deposu (OSV)
debian:drupal7	7.52-2+deb9u12 · Debian:9	Paket deposu (OSV)
Packagist:drupal/core	7.74	Paket deposu (OSV)
Packagist:drupal/core	8.8.11	Paket deposu (OSV)
Packagist:drupal/core	8.9.9	Paket deposu (OSV)
Packagist:drupal/core	9.0.8	Paket deposu (OSV)
Packagist:drupal/drupal	7.74	Paket deposu (OSV)
Packagist:drupal/drupal	8.8.11	Paket deposu (OSV)
Packagist:drupal/drupal	8.9.9	Paket deposu (OSV)
Packagist:drupal/drupal	9.0.8	Paket deposu (OSV)

İstismar durumu

Silahlaştırılmış

Bu zafiyet için hazır bir istismar aracı ya da sahada aktif kullanım biliniyor. Önceliğiniz en üst düzeyde olmalı.

Kanıt

GitHub’da kavram kanıtı deposu ×4

Noroxi istismar kodu barındırmaz ve istismar bağlantısı vermez. Metasploit modül adı ve Nuclei şablon kimliği gösterilir (kod değil, ad); Exploit-DB kayıtları ve PoC depoları yalnızca sayı olarak verilir.

Kamuya açık istismar kanıtı
Kaynak	Tür	Tarih
GitHub’da kavram kanıtı deposu	4 depo	2026-08-22 → 2026-11-10

Araştırma bağlamı

Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.