Webform - Critical - Multiple vulnerabilities - SA-CONTRIB-2019-096
2019/12/12(日本時間：GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。
●プロジェクト ：Webform
●投稿日 ：2019/12/12
●セキュリティリスク ： Critical
●脆弱性 ：Multiple vulnerabilities
==概要==
このモジュールを使用すると、フォームを作成してユーザーから情報を収集し、それを電子メールで報告、分析、および共有できます。
●7.x-3.xモジュールは、クエリ文字列から取得したトークン値を十分に処理しません。クエリ文字列トークンがマークアップコンポーネントの値として使用されている場合、攻撃者はJavaScriptをページに挿入できます。
●7.x-4.xモジュールは、攻撃者がドラフトWebフォームの送信識別子を変更することを十分に保護しないため、別のユーザーの送信を上書きします。機密情報は公開されませんが、情報は上書きされる可能性があるため、紛失または偽造されます。
●7.x-4.xの脆弱性は、攻撃者がWebフォームを送信する権限を持つロールを持ち、Webフォームが「「ドラフトを保存」ボタンを表示」または、「ページ間および検証エラーがある場合に自動的に下書きとして保存します。」これらの2つのオプションはどちらもデフォルトでは有効になっていません。匿名ユーザーはドラフトを提出できないため、この脆弱性を悪用することはできません。
==解決方法==
●Drupal 7.xでWebform 3.xモジュールを使用する場合は、Webform 7.x-3.29またはWebform 7.x-4.21にアップグレードします。
●Drupal 7.xでWebform 4.xモジュールを使用している場合、Webform 7.x-4.21にアップグレードします。
