OAuth Login - OAuth OIDC SSO - Critical - Authentication bypass - SA-CONTRIB-2026-284

2026-10-29

Critical

拡張モジュール

日本時間2026/10/29、OAuth Login - OAuth OIDC SSOにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： OAuth Login - OAuth OIDC SSO
●投稿日　：2026/10/29 JST
●セキュリティリスク　：Critical
●脆弱性　：Authentication bypass
●対象バージョン　： <3.1.1

==概要==

このモジュールは、OAuth 2.0またはOpenID Connectに準拠した任意のIDプロバイダーを使用して、Drupalサイトにログインする機能を提供します。

このモジュールでは、設定用ルートのアクセスチェックや、IDプロバイダーが返すメールアドレスが検証済みかどうかの確認が不十分です。この2つが組み合わさることで、攻撃者は、メールアドレスを知っている既存の任意のユーザーとしてログインできます。

この脆弱性は、攻撃者が、サイトで利用するよう設定されているIDプロバイダーにアカウントを持っており、かつ、そのプロバイダーが返す属性（ユーザー名など）のうち少なくとも1つの値を設定できる場合にのみ影響します。

最新バージョンをインストールしてください。

OAuth Login - OAuth OIDC SSOモジュールを利用している場合は OAuth Login - OAuth OIDC SSO-3.1.1 にアップデートしてください。