Monster Menus - Critical - PHP object injection - SA-CONTRIB-2026-253
Critical
拡張モジュール
日本時間2026/10/22、Monster Menusにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： Monster Menus
●投稿日 ：2026/10/22 JST
●セキュリティリスク ：Critical
●脆弱性 ：PHP object injection
●対象バージョン ： <9.5.6
==概要==
このモジュールは、非常にきめ細かなページ権限を持つ、1つ以上のマルチサイトを作成する機能を提供します。同梱のRSS Pageサブモジュールを使用すると、1つ以上のRSSフィードを集約するノードを作成できます。
このモジュールでは、ノード作成フォームの入力を処理する際にPHPのunserialize関数を使用しているため、PHPオブジェクトインジェクションの脆弱性があります。
この脆弱性は、RSS Pageサブモジュールが有効化されており、かつ攻撃者が「RSS Feed: Create new content」権限を持つロールを持っている場合にのみ影響します。
==解決方法==
最新バージョンをインストールしてください。
Monster Menusモジュールを利用している場合は monster_menus 9.5.6 にアップデートしてください。
