Drupal Webform: Code-Injection in Template-Engine
Zusammenfassung
Das Drupal-Zusatzmodul Webform, das für Formulare und die Verarbeitung von Eingaben verwendet wird, enthält eine Schwachstelle bei der Template-Engine (CWE-1336). Laut Drupal-Advisory ist die Schwachstelle nur ausnutzbar, wenn ein Formular ein eigenes Format für Mehrfachwerte mit Tokens für Eingabewerte verwendet. Je nach Konfiguration der Website und aktivierten Modulen kann ein Angreifer, der Daten übermitteln kann, Informationen offenlegen, stored Cross-Site Scripting auslösen oder Remote Code Execution erreichen. Der CVSS-Wert 9.1 im Ticket ist von NVD noch nicht bestätigt.
Betroffen
- Webform-Versionen von 0.0.0 bis vor 6.2.12
- Webform-Versionen von 6.3.0 bis vor 6.3.1
- Nur Websites mit einem eigenen Format für Mehrfachwerte, das Tokens für Eingabewerte verwendet, sind laut Herstellerhinweis betroffen
Behoben in
- 6.2.12 für den Zweig 6.2.x
- 6.3.1 für den Zweig 6.3.x
- Auf die neueste Version aktualisieren, da beide Versionen zu einem Paket von 22 koordinierten Sicherheitsupdates gehören
Umgehung
- Vom Hersteller ist keine Workaround-Massnahme veröffentlicht.
- Nicht vom Hersteller stammender Vorschlag: Formulare auf eigene Formate für Mehrfachwerte mit Tokens prüfen und diese, sofern nicht benötigt, bis zum Update entfernen.
- Websites mit Zweigen vor 6.1 werden nicht mehr unterstützt und müssen auf einen unterstützten Zweig wechseln.
Ausnutzung
- Drupal stuft die Ausnutzung als Theoretical ein.
- Feedly meldet keine bestätigte Ausnutzung in freier Wildbahn.
- Bei der Recherche wurde kein Eintrag im CISA KEV und kein öffentlicher Proof of Concept gefunden. Dies ist keine bestätigte Abwesenheit.
Unsere Empfehlung
- Installierte Webform-Version prüfen und je nach Zweig auf 6.2.12 oder 6.3.1 aktualisieren, dabei das gesamte Drupal-Release-Paket einspielen.
- Formulare mit eigenen Formaten für Mehrfachwerte, die Tokens für Eingabewerte verwenden, prüfen.
- Den offiziellen Score bei NVD sowie allfällige KEV-Änderungen erneut prüfen.
- Die verwandten Webform-Probleme SA-CONTRIB-2026-174 und SA-CONTRIB-2026-164 im gleichen Update mitpatchen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Drupal Security Advisory SA-CONTRIB-2026-175 www.drupal.org
- Webform 6.3.1 release www.drupal.org
- Webform 6.2.12 tag git.drupalcode.org
- OSV DRUPAL-CONTRIB-2026-175 osv.dev
- VulDB CVE-2026-96355 vuldb.com
- Feedly CVE-2026-96355 feedly.com
- Strix CVE-2026-96355 www.strix.ai
- Drupal Security Advisory SA-CONTRIB-2026-174 www.drupal.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.