Drupal Block AJAX: PHP-Objekt-Injection durch ungeprüfte Blockdaten
Zusammenfassung
Das Drupal-Contrib-Modul Block AJAX (block_ajax) validiert vom Benutzer gelieferte Daten, die es zum Aufbau eines Blocks verwendet, nicht ausreichend. Im schlimmsten Fall kann dies zu PHP-Objekt-Injection und Remote Code Execution führen. Laut Drupal betrifft das Problem nur Websites mit aktiviertem Layout Builder oder einem anderen Block-Plugin, das die Daten unsicher verarbeitet; die Authentifizierungsanforderungen sind noch nicht bestätigt.
Betroffen
- Drupal Block AJAX (block_ajax) von 0.0.0 bis unter 3.0.2
- Drupal stuft das Problem als "Highly critical" ein; der CVE-Eintrag gibt CVSS 9.8 an (NVD-Analyse zum Zeitpunkt der Recherche ausstehend)
Behoben in
- Auf Block AJAX 3.0.2 oder neuer aktualisieren
- Version 3.0.2 macht die Twig-Tweak-Unterstützung rückgängig, welche das Problem eingeführt hat
- Vor dem Update die in den Release Notes beschriebenen Konfigurationsänderungen prüfen
Umgehung
- Modul block_ajax deaktivieren, falls es nicht zeitnah aktualisiert werden kann
- Prüfen, ob der Layout Builder auf der Website aktiviert ist
- Nicht verifiziert: Kein Herstellerhinweis bestätigt, dass diese Massnahmen das Problem vollständig abschwächen
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; CISA SSVC führt Exploitation als none und Automatable als yes
- Kein öffentlicher Proof of Concept gefunden; dies ist keine bestätigte Abwesenheit
Unsere Empfehlung
- Alle Drupal-Websites inventarisieren und auf block_ajax-Versionen unter 3.0.2 prüfen (z. B. mit composer show drupal/block_ajax)
- Auf 3.0.2 aktualisieren und die Konfigurationsänderungen aus den Release Notes prüfen
- Falls kurzfristig nicht aktualisiert werden kann, das Modul deaktivieren
- Prüfen, ob der Layout Builder verwendet wird, und bis zur Verifizierung des Endpunkt-Zugriffs von einer Exposition gegenüber dem Internet ausgehen
- Webserver-Logs auf ungewöhnliche Anfragen an die Block-AJAX-Route prüfen
- NVD-Eintrag und Drupal-Advisory auf Änderungen prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Drupal Security Advisory SA-CONTRIB-2026-192 www.drupal.org
- Drupal security advisories RSS feed www.drupal.org
- OSV entry DRUPAL-CONTRIB-2026-192 osv.dev
- The DropTimes: Drupal contrib security advisories www.thedroptimes.com
- Vulners NVD record CVE-2026-107249 vulners.com
- VulDB CVE-2026-107249 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.