Drupal закрыла критическую RCE-уязвимость в Field UI

Drupal выпустила патчи 11.4.10, 11.3.19 и 10.6.19, закрывающие критическую уязвимость в модуле Field UI, позволяющую выполнить код на сервере. Через ядро атака невозможна, но есть пути эксплуатации через сторонние модули, минимум один — без авторизации.

• Патчи вышли 14 октября в Drupal 11.4.10, 11.3.19 и 10.6.19
• Уязвимость в Field UI позволяет выполнить код на сервере
• Через ядро атака недостижима, нужны contributed-модули
• Минимум один путь эксплуатации не требует входа в систему