FICHE CVE

CVE-2025-31674

Publiée le 2025-03-31 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations de Drupal versions 8, 10 et 11 sont affectées par une faille d'injection d'objet. Un utilisateur authentifié disposant de privilèges de compte basiques peut exploiter cette faille via le réseau pour potentiellement exécuter du code arbitraire ou prendre le contrôle total du serveur. Bien que l'impact soit élevé, l'attaque est difficile à réaliser en raison de la grande complexité requise pour déclencher la faille.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-915 CWE-913

Publiée2025-03-31

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

mlhess@drupal.org

Description officielle du NVD (en anglais)

Improperly Controlled Modification of Dynamically-Determined Object Attributes vulnerability in Drupal Drupal core allows Object Injection.This issue affects Drupal core: from 8.0.0 before 10.3.13, from 10.4.0 before 10.4.3, from 11.0.0 before 11.0.12, from 11.1.0 before 11.1.3.