根據其自我報告的版本，遠端 Web 伺服器上執行的 Drupal 執行個體是 10.5.9 之前的 10.5.x 版、10.6.7 之前的 10.6.x 版、11.2.11 之前的 11.2.x 版或 11.3.7 之前的 11.3.x 版。因此會受到多個弱點影響。

  - AJAX 強制回應對話方塊的 Drupal 核心 jQuery 整合未充分清理特定選項進而可能導致跨網站指令碼 (XSS) 弱點。 (CVE-2026-6365)

  - Drupal 11.3 隨附用於在新增 CKEditor 5 連結的同時完成實體建議的支援。建議未充分清理惡意使用者可針對其他使用者觸發已儲存跨網站指令碼攻擊。 (CVE-2026-6367)

  - Drupal 核心包含一個方法鏈當網站上存在不安全的還原序列化弱點時可惡意利用這些方法鏈。這個所謂的小工具鏈結並不存在直接威脅，但是如果應用程式因其他弱點而對未受信任的資料進行還原序列化時這個向量可用來達到遠端程式碼執行或 SQL 插入的目的。此問題無法直接惡意利用。此問題的影響已減輕，因為必須有個別的弱點允許攻擊者將不安全的輸入傳遞至 unserialize()，才能加以惡意利用。Drupal 核心中沒有此類已知的惡意利用。
    (CVE-2026-6366)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Drupal 10.5.x < 10.5.9 / 10.6.x < 10.6.7 / 11.2.x < 11.2.11 / 11.3.x < 11.3.7 多個弱點 (drupal-2026-04-15)

medium Nessus Plugin ID 306602

版本 1.1