VULNERABILIDADDetectada 30 OCT · 02:06

CVE-2026-107249 Inyección de objetos PHP en Drupal Block AJAX

Modificación incorrectamente controlada de atributos de objetos determinados dinámicamente en Drupal Block AJAX permite inyección de objetos. Afecta a las versiones de Block AJAX desde 0.0.0 hasta 3.0.2.

9.8CRÍTICA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,4 % · percentil 33
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

Drupal Block AJAX
desde 0.0.0 hasta antes de 3.0.2

Qué hacer

Verificá si usás Block AJAX y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 9.8 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadAlta
DisponibilidadAlta

Descripción original

Improperly Controlled Modification of Dynamically-Determined Object Attributes vulnerability in Drupal Block AJAX allows Object Injection. This issue affects Block AJAX versions: from 0.0.0 to 3.0.2.

Referencias (1)

www.drupal.org/sa-contrib-2026-192

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.