Block AJAX - Highly critical - PHP object injection - SA-CONTRIB-2026-192
Highly Critical
拡張モジュール
日本時間2026/10/8、Block AJAXにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： Block AJAX
●投稿日 ：2026/10/8 JST
●セキュリティリスク ：Highly Critical
●脆弱性 ：PHP object injection
●対象バージョン ： <3.0.2
==概要==
このモジュールは、Ajaxを使用して、ページの表示後にブロックを読み込む機能を提供します。
このモジュールでは、ブロックの構築に使用されるユーザー入力データの検証が不十分です。最も深刻な場合に、PHPオブジェクトインジェクションおよびリモートコード実行につながる可能性があります。
この脆弱性は、Layout Builderが有効化されているサイト（または、このモジュールが渡すデータを安全でない可能性のある方法で処理する他のブロックプラグインを利用しているサイト）にのみ影響します。
破壊的変更が含まれる可能性があるため、詳細はリリースノートをご確認ください。
==解決方法==
最新バージョンをインストールしてください。
Block AJAXモジュールを利用している場合は block_ajax 3.0.2 にアップデートしてください。
