---
cve: "CVE-2026-114573"
severity: "HIGH"
cvss: 8.8
epss: "0.3%"
vendor: "Drupal"
kev: false
exploited: false
published: "2026-10-30 04:18:17"
tags: [cve, security, high]
source: tsecurity.de CVE-Dossier
exported: "2026-11-09T15:05:07+01:00"
---

# CVE-2026-114573

> 8.8 HIGH

## Beschreibung

Improperly Controlled Modification of Dynamically-Determined Object Attributes vulnerability in Drupal Monster Menus allows Object Injection. This issue affects Monster Menus versions: from 0.0.0 to 9.5.6.

## CNA-Record (Kanon, cvelistV5)

- CNA: **drupal**
- State: PUBLISHED
- Stand: 2026-11-06 13:10:11

## CISA-Anreicherung (vulnrichment/ADP)

- CISA-SSVC (Coordinator, v2.0.3):
  - Exploitation: **none**
  - Automatable: **no**
  - Technical Impact: **total**

## CVSS-Vektor

```
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
```

| Metrik | Wert | Bewertung |
|---|---|---|
| AV Angriffsvektor | Netzwerk | bad |
| AC Komplexität | Gering | bad |
| PR Privilegien | Gering | warn |
| UI Interaktion | Keine | bad |
| S Scope | Unverändert | good |
| C Vertraulichkeit | Hoch | bad |
| I Integrität | Hoch | bad |
| A Verfügbarkeit | Hoch | bad |

## Schwachstellen-Klasse

- **CWE-915** — Improperly Controlled Modification of Dynamically-Determined Object Attributes
  The product receives input from an upstream component that specifies multiple attributes, properties, or fields that are to be initialized or updated in an object, but it does not properly control which attributes can be modified.

## Patch verfügbar (OSV)

- 664cdf08527ddb7edfc5e1c2250c140a82f034f4 (Commit)

## BSI-Hinweise (deutsch)

- [Drupal Erweiterungen: Mehrere Schwachstellen](https://wid.cert-bund.de/portal/wid/sicherheitshinweis/WID-SEC-W-2026-4230) — _BSI-Einstufung: kritisch_
  Ein Angreifer kann mehrere Schwachstellen in Drupal ausnutzen, um erweiterte Berechtigungen zu erlangen und Benutzerkonten zu übernehmen, Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen, Daten zu manipulieren, Cross-Site-Scripting-Angriffe durchzuführen und nicht näher spezifizierte Auswirkungen zu verursachen.

## Referenzen

- <https://www.drupal.org/sa-contrib-2026-253>

---
_Exportiert aus dem [tsecurity.de CVE-Dossier](https://tsecurity.de/sicherheitsluecken/cve-2026-114573/) · Datenquellen: EUVD (ENISA), NVD, OSV, CISA KEV, FIRST EPSS, Exploit-DB, BSI WID (CSAF)_