2019/7/17(日本時間：GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●プロジェクト　：ImageCache Actions
●投稿日　：2019/7/17
●セキュリティリスク　： Critical
●脆弱性　： Multiple Vulnerabilities

==概要==
imagecacheアクションモジュールは、画像スタイルを作成するために使用できる画像効果を定義します。"Image styles admin"サブモジュールは、画像スタイルを複製、エクスポート、インポートするための追加機能があります。このモジュールは、unserialize（）を使用して、入力を処理するときにunserialize（）にセキュリティ上の問題があるサイトに画像スタイルをインポートします。

この脆弱性は、 "Image styles admin"サブモジュールを有効にしなければならず、攻撃者が "'images stylesを管理する"権限を持つことで軽減されます。

さらに、インポート機能は、画像スタイルの一部として画像効果に含まれるPHPコードをサポートします。これは、PHPモジュールが有効になっていることを条件に、画像派生生成で実行されます。これは "Image styles admin"サブモジュールのため、ユーザーアクセス制限は関係する潜在的なリスクを反映するべきです。

このモジュールの新しいセキュリティリリースでは、制限付きとしてマークされている新しい「イメージスタイルのインポート」権限が導入されています。画像スタイルのインポート機能を使用するには、ユーザーは「画像スタイルの管理」（制限付きとしてマークされていない）に加えて、この新しい権限を持つロールを持つ必要があります。

==解決方法==。
Drupal 7.x用のImagecacheアクションモジュールを使用する場合は、Imagecacheアクション7.x-1.10にアップグレードしてください。

Image EffectsD8の後継者はこの脆弱性に対して*脆弱ではありません*。

==元記事==
https://www.drupal.org/sa-contrib-2019-056