Commerce Stripe - Critical - Cross-site request forgery - SA-CONTRIB-2026-263
Critical
拡張モジュール
日本時間2026/10/29、Commerce Stripeにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： Commerce Stripe
●投稿日 ：2026/10/29 JST
●セキュリティリスク ：Critical
●脆弱性 ：Cross-site request forgery
●対象バージョン ： >=2.0.0 <2.2.3
==概要==
このモジュールは、Stripe Connect APIを使用して、Drupal Commerceストアを複数のStripe APIによる支払いに素早く対応させる機能を提供します。
このモジュールでは、認可コードを生成するためにStripe Connectへリダイレクトする際、戻り先URIにCSRFトークンが含まれていません。このため、攻撃者が管理者を誘導してリンクをクリックさせ、注文のStripe決済を回避できる可能性があります。この場合、実際の支払いがないまま、注文が支払い済みとして処理されます。
==解決方法==
最新バージョンをインストールしてください。
- Commerce Stripe 2.2.3 にアップデートしてください。
- Commerce Stripe 2.0.xおよび2.1.xはサポートが終了しているため、これらの古いバージョンを利用しているサイトも、Commerce Stripe 2.2.3にアップデートしてください。
- Commerce Stripe 8.x-1.xは影響を受けません。
