CSP log - Critical - SQL Injection - SA-CONTRIB-2026-136
Critical
拡張モジュール
日本時間2026/9/10、CSP logにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： CSP log
●投稿日 ：2026/9/10 JST
●セキュリティリスク ：Critical
●脆弱性 ：SQL Injection
●対象バージョン ： <1.0.2
==概要==
このモジュールは、サイトにCSPヘッダーを追加する各種モジュールを拡張し、レポート送信用エンドポイント、専用ストレージ、および問題の追跡やCSPヘッダーの調整に利用できる集計レポートを提供します。
このモジュールでは、データベースクエリに使用するユーザー入力値のサニタイズが不十分であるため、SQLインジェクションが可能な状態です。
この脆弱性は、攻撃者が「Access CSP reports」権限を持つアカウントにアクセスできる場合にのみ影響します。
==解決方法==
最新バージョンをインストールしてください。
CSP logモジュールを利用している場合は CSP log 1.0.2 にアップデートしてください。
