Drupal-Module: Mehrere Schwachstellen
WID-SEC-2025-2733 · erstmals 04.12.2025 · aktualisiert 29.01.2026 · CVSS 6,5
Worum es geht
Drupal ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein entfernter, authentisierter oder anonymer Angreifer kann mehrere Schwachstellen in Drupal ausnutzen, um Cross-Site-Scripting-Angriffe zu starten, Sicherheitsmaßnahmen zu umgehen und vertrauliche Informationen offenzulegen.
Unter welchen Bedingungen?
Über das Netz, aber nur mit gültigem Zugang (Anmeldung nötig), etwa mit gestohlenen Zugangsdaten oder als Innentäter.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- Cross-Site-Scripting-Angriffe zu starten
- Sicherheitsmaßnahmen zu umgehen
- vertrauliche Informationen offenzulegen
Bin ich betroffen?
Betroffen sind laut BSI:
- Open Source Drupal Disable Login Page <1.1.3
- Open Source Drupal Mini Site <3.0.2
- Open Source Drupal CKEditor 5 Premium Features <1.2.10
- Open Source Drupal CKEditor 5 Premium Features <1.3.6
- Open Source Drupal CKEditor 5 Premium Features <1.4.3
- Open Source Drupal CKEditor 5 Premium Features <1.5.1
- Open Source Drupal CKEditor 5 Premium Features <1.6.4
- Open Source Drupal AI <1.0.7
- Open Source Drupal AI <1.1.7
- Open Source Drupal AI <1.2.4
- Open Source Drupal Login Time Restriction <1.0.3
- Open Source Drupal Tagify <1.2.44
und 3 weitere
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Open Source Drupal Disable Login Page 1.1.3
- Open Source Drupal Mini Site 3.0.2
- Open Source Drupal CKEditor 5 Premium Features 1.2.10
- Open Source Drupal CKEditor 5 Premium Features 1.3.6
- Open Source Drupal CKEditor 5 Premium Features 1.4.3
- Open Source Drupal CKEditor 5 Premium Features 1.5.1
- Open Source Drupal CKEditor 5 Premium Features 1.6.4
- Open Source Drupal AI 1.0.7
- Open Source Drupal AI 1.1.7
- Open Source Drupal AI 1.2.4
- Open Source Drupal Login Time Restriction 1.0.3
- Open Source Drupal Tagify 1.2.44
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Drupal Security Advisory vom 2025-12-03 www.drupal.org
- Drupal Security Advisory vom 2025-12-03 www.drupal.org
- Drupal Security Advisory vom 2025-12-03 www.drupal.org
- Drupal Security Advisory vom 2025-12-03 www.drupal.org
- Drupal Security Advisory vom 2025-12-03 www.drupal.org
- Drupal Security Advisory vom 2025-12-03 www.drupal.org
- Drupal Security Advisory vom 2025-12-03 www.drupal.org
- Drupal Security Advisory vom 2025-12-03 www.drupal.org
CVE: CVE-2025-13979, CVE-2025-13980, CVE-2025-13981, CVE-2025-13982, CVE-2025-13983, CVE-2025-13984, CVE-2025-13985, CVE-2025-13986
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.