日本時間2026/10/29、Single Content Syncにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Single Content Sync 
●投稿日　：2026/10/29 JST
●セキュリティリスク　：Critical
●脆弱性　：External control of file name or path
●対象バージョン　： <1.4.19

==概要==

このモジュールは、コンテンツ、参照先のエンティティ、およびファイルを、Drupalサイト間でエクスポート・インポートする機能を提供します。

このモジュールでは、コンテンツのインポート時に、ファイルの取得元と保存先の検証が不十分です。攻撃者は、任意のファイルの書き込み、Webサーバーからアクセス可能な機密性の高いローカルファイルの開示、またはサーバーから内部・外部リソースへのリクエスト送信を引き起こすことができます。サーバーの設定によっては、リモートコード実行につながる可能性があります。

この脆弱性を悪用するには、「import single content」権限が必要です。この権限は、バージョン1.4.18以降、制限付き（restricted）の権限に設定されています。また、リモートコード実行は、サーバーが攻撃者の制御するファイルの実行を許可している場合にのみ成立します。

==解決方法==

最新バージョンをインストールしてください。

Single Content Syncモジュールを利用している場合は Single Content Sync 1.4.19 にアップデートしてください。

アップデート後は、データベースアップデートを実行し、キャッシュを再構築してください。また、モジュールの権限を確認し、「import single content」権限が信頼性の高いロールにのみ付与されているようにしてください。

インポート時のリモートファイルのダウンロードは、デフォルトで無効になっています。この機能が必要なサイトでは、モジュールの設定で信頼できるファイルホストを設定してください。または、必要なアセットを含むZIPファイルをインポートしてください。

==元記事==

https://www.drupal.org/sa-contrib-2026-274