OAuth2 Token Manager - Critical - Access bypass - SA-CONTRIB-2026-290
Critical
拡張モジュール
日本時間2026/10/29、OAuth2 Token Managerにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： OAuth2 Token Manager
●投稿日 ：2026/10/29 JST
●セキュリティリスク ：Critical
●脆弱性 ：Access bypass
●対象バージョン ： <1.2.0
==概要==
このモジュールは、Box、Quip、Slackとの連携に使用するシステム全体のOAuth2アクセストークンおよびリフレッシュトークンを、DrushとOAuth2検証コールバックを通じて管理する機能を提供します。
このモジュールでは、OAuth2のルートへのアクセスが制限されていないため、匿名の訪問者が、サイトの連携を自分が管理するアカウントに接続できる可能性があります。
この脆弱性は、攻撃者が、過去のシステムトークン初期化時に使用されたOAuth2のstate値（例：サーバーのアクセスログから）を入手できる場合にのみ影響します。
==解決方法==
最新バージョンをインストールしてください。
OAuth2 Token Managerモジュールを利用している場合は OAuth2 Token Manager 8.x-1.2 にアップデートしてください。
アップデート後は、データベースアップデートを実行してください。Box、Quip、Slackとの連携が権限のないアカウントに接続された疑いがある場合は、Drushを使ってシステムトークンを再初期化してください。
