███████╗██╗ ██╗██████╗ ██████╗ ███╗ ███╗ █████╗ ██╗ ██╗███████╗ ██╔════╝██║ ██║██╔══██╗██╔═══██╗ ████╗ ████║██╔══██╗██║ ██╔╝██╔════╝ ███████╗██║ ██║██║ ██║██║ ██║ ██╔████╔██║███████║█████╔╝ █████╗ ╚════██║██║ ██║██║ ██║██║ ██║ ██║╚██╔╝██║██╔══██║██╔═██╗ ██╔══╝ ███████║╚██████╔╝██████╔╝╚██████╔╝ ██║ ╚═╝ ██║██║ ██║██║ ██╗███████╗ ╚══════╝ ╚═════╝ ╚═════╝ ╚═════╝ ╚═╝ ╚═╝╚═╝ ╚═╝╚═╝ ╚═╝╚══════╝

guest@sudomake:~/research$ cat cve-2026-55806.txt

CVE-2026-55806

Drupal corerebuild.phpLess critical · 9/25

Empoisonnement de cache & redirection ouverte

rebuild.php ne vérifiait pas l’en-tête Host face aux hôtes de confiance. Résultat : empoisonnement du cache et redirections vers des domaines contrôlés par l’attaquant.

faiblesse: Host header injection
crédit: Co-crédité comme découvreur
affecté: 10.5.x < 10.5.1210.6.x < 10.6.1111.0.x / 11.1.x (EOL)11.2.x < 11.2.1411.3.x < 11.3.12
corrigé en: 10.5.1210.6.1111.2.1411.3.12
avis: SA-CORE-2026-007

chronologie

2026-06-17correctif publié
2026-06-17avis publié

lire l’avis officiel ↗