Custom Formatters - Critical - Remote code execution - SA-CONTRIB-2026-225
Critical
拡張モジュール
日本時間2026/10/22、Custom Formattersにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： Custom Formatters
●投稿日 ：2026/10/22 JST
●セキュリティリスク ：Critical
●脆弱性 ：Remote code execution
●対象バージョン ： <4.2.1
==概要==
このモジュールは、カスタムモジュールを作成することなく、管理画面からカスタムフィールドフォーマッターを簡単に作成できる機能を提供します。
このモジュールでは、PHPフォーマッターエンジンがeval()を実行してユーザーが指定したPHPコードを実行するため、サイト上で任意のPHPコードが実行される可能性があります。パーミッションの設定画面には、この動作についての表示がありません。
==解決方法==
最新バージョンをインストールしてください。
Custom Formattersモジュールを利用している場合は Custom Formatters 4.2.1 にアップデートしてください。
