2017/8/30(日本時間：GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID　：DRUPAL-SA-CONTRIB-2017-070
●プロジェクト　：Commerce Invoices (拡張モジュール)
●バージョン　： 7.x
●投稿日　：2017/8/30
●セキュリティリスク　： Highly Critical
●脆弱性　： Cross Site Scripting, SQL Injection

==概要==
Commerce Invoicesは、請求書番号、会社名、金額を入力することができ、顧客がDrupal commerceでサポートされている支払い方法を利用してサイト上で支払うことができる請求書を生成します。

==SQL Injection==
本モジュールはユーザーから提供されたバリューをサイトデーターベースへ問い合わせをした際に同データーベスのAPIを正しく使用しなかったため、攻撃者からクエリーを変更したり、他にクエリーを実行する特定リクエストが送られてくる可能性があります。

攻撃者にはaccess checkout権限が必要であることによって本脆弱性は軽減されますが、access checkout権限は通常に許可される権限でもあります。

==Stored Cross Site Scripting (XSS)==
本モジュールは送信されたテキストをサイトユーザーに反映する前に十分フィルターしませんでした。

攻撃者にはaccess checkout権限が必要であることによって本脆弱性は軽減されますが、access checkout権限は通常に許可される権限でもあります。

==影響を受けるバージョン==
Commerce Invoices 7.x-1.1以前の全てのバージョンです。

Drupalコアには影響がありません。
Commerce Invoices拡張モジュールを使用していない場合は、何もする必要はありません。

==解決方法==。

Drupal 7.x用のCommerce Invoices 拡張モジュールを使用している場合は、Commerce Invoices 7.x-1.1バージョンへアップグレードすることお勧めします。

より詳しい説明はhttps://www.drupal.org/project/commerce_invoices をご覧ください。

==特記==
モジュールの文字列が変更されました。Drupalのローカリゼーションシステムを使用しているサイトは訳されたストリングを再検討し、更新することをお勧めします。

==元記事==
https://www.drupal.org/node/2905691