Kerngegevens
- Leverancier
- Drupal
- Product
- Drupal Webform
- Soort software
- CMS
- Getroffen versies
- Drupal Webform ouder dan 6.2.12, en 6.3.0 (ouder dan 6.3.1)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Drupal Webform 6.2.12
- Drupal Webform 6.3.1
- CVE gepubliceerd
- 22 oktober 2026
- Gepubliceerd op LekkenRadar
- 22 oktober 2026
- Laatst gewijzigd bij NVD
- 22 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Webform, een veelgebruikte module van het CMS Drupal waarmee je formulieren maakt, zit een fout in de verwerking van sjablonen. Speciale tekens in invoer worden niet goed onschadelijk gemaakt. Daardoor kan een aanvaller eigen code laten uitvoeren (code-injectie). Het lek heeft ernst kritiek (9,1).
Wie loopt risico?
Je loopt risico als je een Drupal-website draait met een Webform-versie ouder dan 6.2.12, of versie 6.3.0 uit de 6.3-reeks. Een aanvaller hoeft volgens de gegevens niet in te loggen en kan het lek via het netwerk misbruiken. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt of dat er een publieke exploit is.
Wat moet je doen?
Controleer je Webform-versie
Kijk in je Drupal-beheeromgeving of met Composer welke versie van de Webform-module je gebruikt en of die onder de getroffen versies valt.
Werk Webform bij
Installeer de opgeloste versie: 6.2.12 als je de 6.2-reeks gebruikt, of 6.3.1 als je de 6.3-reeks gebruikt.
Lees het advies van Drupal
Bekijk Drupal-advies SA-CONTRIB-2026-175 voor details en eventuele extra aanwijzingen.
Controleer je site na de update
Test je formulieren na het bijwerken en kijk of er onverwachte wijzigingen of verdachte activiteit in je logboeken staan.
Dezelfde update lost meer lekken op
Webform 6.2.12 en 6.3.1 verhelpen ook een lek waarmee een aanvaller de server kan overbelasten (CVE-2026-96365, https://lekkenradar.nl/cve/cve-2026-96365/).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een onjuiste neutralisatie van speciale elementen in een sjabloonengine (CWE-1336) in de Drupal-module Webform. Hierdoor kan een aanvaller code injecteren die door de sjabloonengine wordt verwerkt. De CVSS 3.1-vector (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) laat zien dat het lek via het netwerk te misbruiken is, met lage complexiteit, zonder inloggegevens en zonder gebruikersinteractie. De impact op vertrouwelijkheid en integriteit is hoog, op beschikbaarheid is er geen impact. Getroffen zijn Webform-versies van 0.0.0 tot 6.2.12 en van 6.3.0 tot 6.3.1; opgeloste versies zijn 6.2.12 en 6.3.1.
CVSS-vector (versie 3.1, basisscore 9,1, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N- Zwakheid (CWE)
- CWE-1336 · Onjuiste neutralisatie van speciale elementen in een sjabloonengine
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee