日本時間2026/10/29、Stage File Proxyにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Stage File Proxy 
●投稿日　：2026/10/29 JST
●セキュリティリスク　：Critical
●脆弱性　：Cross-site scripting
●対象バージョン　： <3.1.7 || >=4.0.0 <4.0.1

==概要==

このモジュールは、本番環境のファイルを開発サーバー上でオンデマンドに取得するための、汎用的な仕組みを提供します。本番サイトでの使用は想定されていません。

このモジュールでは、フォールバックでファイルを取得する際に、ファイルのURLに悪意のあるコンテンツが含まれていないかの確認が不十分であるため、クロスサイトスクリプティングの脆弱性があります。

日本時間2026/10/29、Signature pad widgetにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Signature pad widget 
●投稿日　：2026/10/29 JST
●セキュリティリスク　：Critical
●脆弱性　：Cross-site scripting
●対象バージョン　： <1.15.0

==概要==

このモジュールは、ユーザーが署名を作成し、SVG画像として保存できる機能を提供します。

このモジュールでは、ユーザーが指定したコンテンツをパブリックファイルシステムに保存する前に、十分にサニタイズされていません。特定の状況下では、悪意を持って細工されたファイルにアクティブコンテンツやその他の安全でない内容が含まれ、クロスサイトスクリプティング（XSS）の脆弱性につながる可能性があります。

==解決方法==

最新バージョンをインストールしてください。

日本時間2026/10/29、OAuth Login - OAuth OIDC SSOにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： OAuth Login - OAuth OIDC SSO 
●投稿日　：2026/10/29 JST
●セキュリティリスク　：Critical
●脆弱性　：Authentication bypass
●対象バージョン　： <3.1.1

==概要==

このモジュールは、OAuth 2.0またはOpenID Connectに準拠した任意のIDプロバイダーを使用して、Drupalサイトにログインする機能を提供します。

このモジュールでは、設定用ルートのアクセスチェックや、IDプロバイダーが返すメールアドレスが検証済みかどうかの確認が不十分です。この2つが組み合わさることで、攻撃者は、メールアドレスを知っている既存の任意のユーザーとしてログインできます。

【更新】
このアドバイザリは更新され、サポート対象外から、修正版が公開されたセキュリティアドバイザリに変更されました。
最新の情報はhttps://drupal-navi.jp/news/851をご確認ください。
以下は更新前の内容です。
 

日本時間2026/10/29、GroupEx PRO ( Daxko ) integration において脆弱性が発表されました。
確認の上、対応をおすすめします。

●プロジェクト　： GroupEx PRO ( Daxko ) integration 
●投稿日　：2026/10/29 JST
●セキュリティリスク　：Critical
●脆弱性　：Unsupported

日本時間2026/10/29、PayUmoney for Drupal Commerce において脆弱性が発表されました。
確認の上、対応をおすすめします。

●プロジェクト　： PayUmoney for Drupal Commerce 
●投稿日　：2026/10/29 JST
●セキュリティリスク　：Critical
●脆弱性　：Unsupported

日本時間2026/10/29、CacheFlush において脆弱性が発表されました。
確認の上、対応をおすすめします。

●プロジェクト　： CacheFlush 
●投稿日　：2026/10/29 JST
●セキュリティリスク　：Critical
●脆弱性　：Unsupported

日本時間2026/10/29、Single Content Syncにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Single Content Sync 
●投稿日　：2026/10/29 JST
●セキュリティリスク　：Critical
●脆弱性　：Remote code execution
●対象バージョン　： <1.4.19

==概要==

このモジュールは、コンテンツ、参照先のエンティティ、およびファイルを、Drupalサイト間でエクスポート・インポートする機能を提供します。

このモジュールでは、悪意を持って細工されたインポートファイルにより、信頼できないデータがデシリアライズされ、リモートコード実行につながる可能性があります。

この脆弱性は、攻撃者が「import single content」権限を持つロールを持っている場合にのみ影響します。

日本時間2026/10/29、Single Content Syncにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Single Content Sync 
●投稿日　：2026/10/29 JST
●セキュリティリスク　：Critical
●脆弱性　：External control of file name or path
●対象バージョン　： <1.4.19

==概要==

このモジュールは、コンテンツ、参照先のエンティティ、およびファイルを、Drupalサイト間でエクスポート・インポートする機能を提供します。

日本時間2026/10/29、AI (Artificial Intelligence)において脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： AI (Artificial Intelligence) 
●投稿日　：2026/10/29 JST
●セキュリティリスク　：Critical
●脆弱性　：Cross-site scripting
●対象バージョン　： <1.4.11 || >=1.5.0 <1.5.2

==概要==

このAIモジュールは、AIプロバイダーとやり取りする機能を提供します。モジュールを利用する側で、クロスサイトスクリプティングの要素が表示されるのを防ぐためのサービスも含まれています。

このモジュールでは、特定の条件下でMarkdownリンクの検証が不十分であるため、クロスサイトスクリプティング（XSS）が可能になる可能性があります。

==解決方法==

最新バージョンをインストールしてください。

日本時間2026/10/29、Commerce Stripeにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Commerce Stripe 
●投稿日　：2026/10/29 JST
●セキュリティリスク　：Critical
●脆弱性　：Cross-site request forgery
●対象バージョン　： >=2.0.0 <2.2.3

==概要==

このモジュールは、Stripe Connect APIを使用して、Drupal Commerceストアを複数のStripe APIによる支払いに素早く対応させる機能を提供します。