AI Agents - Moderately critical - Information disclosure, Access bypass - SA-CONTRIB-2026-057
Incorrect Authorization vulnerability in Drupal AI Agents allows Forceful Browsing. This issue affects AI Agents versions: from 0.0.0 to 1.1.4, from 1.2.0 to 1.2.5, from 1.3.0 to 1.3.1.
- Yayın
- 10 Tem 2026
- Güncelleme
- 16 Tem 2026
- EPSS
- %0,2 · 11. yüzdelik
- CWE
- CWE-863
Takip etmek için giriş yap · Takip ettiğin kayıt KEV’e girer, istismarı çıkar ya da güncellenirse bildirim alırsın.
Rapor araçları
Aksiyon skoru
19
İzleyin
Şimdilik düşük öncelik.
- CVSS
- 19 / 40 · 4.8 / 10
- CISA KEV
- 0 / 30 · Listede değil
- EPSS
- 0 / 30 · %0,2
CISA SSVC kararı
- Sömürü
- yok
- Otomatikleştirilebilir
- hayır
- Teknik etki
- kısmi
Vulnrichment: CISA'nın karar ağacı girdileri.
Etkilenen sistemler
| Üretici | Ürün | CPE |
|---|---|---|
| artificial intelligence project | artificial intelligence | cpe:2.3:a:artificial_intelligence_project:artificial_intelligence |
Etkilenen sürümler
NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.
- artificial intelligence project artificial intelligence1.1.4 öncesi
- artificial intelligence project artificial intelligence1.2.0 ve sonrası · 1.2.5 öncesi
- artificial intelligence project artificial intelligence1.3.0 ve sonrası · 1.3.1 öncesi
Üreticinin bildirdiği sürümler
Kaydı açan otorite (drupal) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.
Drupal AI Agents
- 0.0.0 ve sonrası · 1.1.4 öncesietkilenir · semver
- 1.2.0 ve sonrası · 1.2.5 öncesietkilenir · semver
- 1.3.0 ve sonrası · 1.3.1 öncesietkilenir · semver
Paket düzeyi etkilenme
OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.
| Ekosistem | Paket | Etkilenen aralık | Düzeltme |
|---|---|---|---|
| Packagist:https://packages.drupal.org/8 | drupal/ai_agents | 1.2.0 itibarıyla · 1.2.5 öncesi | 1.2.5 |
| Packagist:https://packages.drupal.org/8 | drupal/ai_agents | 1.3.0 itibarıyla · 1.3.1 öncesi | 1.3.1 |
| Packagist:https://packages.drupal.org/8 | drupal/ai_agents | 1.1.4 öncesi | 1.1.4 |
Aynı birincil ürünün en yüksek skorlu diğer kayıtları.
- CVE-2025-31677AI (Artificial Intelligence) - Critical - Cross Site Request Forgery - SA-CONTRIB-2025-00335İzleyin
- CVE-2025-31678AI (Artificial Intelligence) - Moderately critical - Access bypass, Information Disclosure - SA-CONTRIB-2025-00432İzleyin
- CVE-2026-3573AI (Artificial Intelligence) - Moderately critical - Information Disclosure - SA-CONTRIB-2026-02830İzleyin
- CVE-2025-31692AI (Artificial Intelligence) - Critical - Remote Code Execution - SA-CONTRIB-2025-02130İzleyin
- CVE-2025-31693AI (Artificial Intelligence) - Moderately critical - Gadget Chain - SA-CONTRIB-2025-02226İzleyin
- CVE-2026-13234AI (Artificial Intelligence) - Moderately critical - Information Disclosure / Cross-site Scripting - SA-CONTRIB-2026-05424İzleyin
Düzeltme
Hangi sürüme geçmeli
Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.
| Ürün / paket | Düzeltilmiş sürüm | Kaynak |
|---|---|---|
| Drupal AI Agents | 1.1.4 | Üretici (CNA) |
| Drupal AI Agents | 1.2.5 | Üretici (CNA) |
| Drupal AI Agents | 1.3.1 | Üretici (CNA) |
| Packagist:https://packages.drupal.org/8:drupal/ai_agents | 1.1.4 | Paket deposu (OSV) |
| Packagist:https://packages.drupal.org/8:drupal/ai_agents | 1.2.5 | Paket deposu (OSV) |
| Packagist:https://packages.drupal.org/8:drupal/ai_agents | 1.3.1 | Paket deposu (OSV) |
İstismar durumu
Bilinen kamuya açık istismar yok
Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.
Araştırma bağlamı
Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.
Zaman çizelgesi
Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.
Yayın dışında tarihli olay yok.
FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).
Yama ve commit bağlantıları
Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.
Referanslarda commit ya da PR bağlantısı yok.
Kredi
Tüm araştırmacılarCNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıkla, aynı araştırmacının diğer kayıtlarını gör.
- Rob Edwards (rob_e)bulan
- Drew Webber (mcdruid)koordinatör
- Marcus Johansson (marcus_johansson)düzeltme geliştirici
- Greg Knaddison (greggles)koordinatör
- Bram Driesen (bramdriesen)koordinatör
- Juraj Nemec (poker10)koordinatör
- Andrew Belcher (andrewbelcher)bulan
Varyant adayları
Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.
- CVE-2026-3573106 gün araylaAI (Artificial Intelligence) - Moderately critical - Information Disclosure - SA-CONTRIB-2026-02830İzleyin
Zincir adayları
Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.
—
Bug bounty kapsamı
Bilinen herkese açık program yok.
Kaynak: bounty-targets-data (HackerOne, Bugcrowd, Intigriti, YesWeHack herkese açık listeleri).
Teknik detay
Saldırı koşulları
- İnternetten erişebilen herkes tetikleyebilir.
- Hesap ya da parola gerekmez.
- Kullanıcının bir şey yapması gerekmez.
- Zamanlama ya da yapılandırma gibi özel koşullar gerekir.
Başarılı olursa
- Gizlilik
- düşük · veriler okunabilir
- Bütünlük
- düşük · veri ya da yapılandırma değiştirilebilir
- Erişilebilirlik
- yok
- Saldırı vektörü
- Ağ
- Karmaşıklık
- Yüksek
- Gereken yetki
- Yok
- Kullanıcı etkileşimi
- Gerekmez
- Kapsam
- Değişmez
- Gizlilik etkisi
- Düşük
- Bütünlük etkisi
- Düşük
- Erişilebilirlik etkisi
- Yok
Zayıflık sınıfı (CWE)
CWE-863 · Incorrect AuthorizationCVSS vektörü
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
nvd-secondary
Saldırı bağlamı
Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.
Bu CWE için MITRE'de CAPEC/ATT&CK eşlemesi yok.
Noroxi analizi
Bu kayıt için henüz Noroxi analizi yok
385 binden fazla zafiyetin tamamına elle analiz yazmıyoruz; bu dürüst olmazdı. Öne çıkan ve sahada etkisi olan zafiyetler için mekanizma, tespit ve kapatma adımlarını ekibimiz yazıyor.
Bu ürünü kullanıyoruz, yardım isteyinDeğişiklik günlüğü
- Düzeltme✗ → ✓
Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →
Referanslar
Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.