Kerngegevens
- Leverancier
- Drupal
- Product
- Drupal Webform
- Soort software
- CMS
- Getroffen versies
- Drupal Webform ouder dan 6.2.12, en 6.3.0 (ouder dan 6.3.1)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Drupal Webform 6.2.12
- Drupal Webform 6.3.1
- CVE gepubliceerd
- 22 oktober 2026
- Gepubliceerd op LekkenRadar
- 22 oktober 2026
- Laatst gewijzigd bij NVD
- 22 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Webform, een onderdeel voor Drupal, zit een fout waarbij het systeem te veel resources (zoals rekenkracht of geheugen) kan toewijzen, zonder dat daar een grens of rem op zit. Een aanvaller kan daardoor veel middelen van de server opeisen. Het gevolg is dat de website of server trager wordt of niet meer bereikbaar is.
Wie loopt risico?
Je loopt risico als je een Drupal-site draait met een Webform-versie ouder dan 6.2.12, of versie 6.3.0 uit de 6.3-reeks. De aanval kan via het netwerk, zonder inloggegevens en zonder dat een gebruiker iets hoeft te doen. Het lek treft de beschikbaarheid van je site; er is geen aanwijzing dat gegevens worden gelezen of aangepast.
Wat moet je doen?
Controleer je Webform-versie
Kijk in je Drupal-beheeromgeving of met Composer welke versie van Webform je gebruikt en of die onder de getroffen versies valt.
Werk Webform bij
Installeer de opgeloste versie: 6.2.12 als je de 6.2-reeks gebruikt, of 6.3.1 als je de 6.3-reeks gebruikt. Test de update eerst op een testomgeving als je site belangrijk is.
Lees het advies van Drupal
Bekijk het beveiligingsadvies SA-CONTRIB-2026-170 op drupal.org voor details.
Beperk blootstelling als je niet direct kunt bijwerken
Overweeg tijdelijk de webformulieren minder openbaar te maken of het verkeer naar je site te begrenzen, bijvoorbeeld via een firewall of webapplicatiefilter.
Dezelfde update lost meer lekken op
Webform 6.2.12 en 6.3.1 verhelpen ook een kritiek lek waarmee code is te injecteren via sjablonen (CVE-2026-96355, https://lekkenradar.nl/cve/cve-2026-96355/).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek valt onder CWE-770: het toewijzen van resources zonder limieten of throttling. In Drupal Webform kan hierdoor een overmatige toewijzing van resources optreden (excessive allocation). De kwetsbaarheid is via het netwerk te bereiken met lage complexiteit, zonder rechten en zonder gebruikersinteractie. Volgens de CVSS 3.1-vector (AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H) is alleen de beschikbaarheid geraakt, met een score van 7,5. Getroffen zijn Webform-versies van 0.0.0 tot 6.2.12 en van 6.3.0 tot 6.3.1. Er is geen publiek exploit bekend en het lek staat niet op de KEV-lijst.
CVSS-vector (versie 3.1, basisscore 7,5, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Zwakheid (CWE)
- CWE-770 · Toewijzing van resources zonder limieten of throttling
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee