日本時間2026/11/5、Simple OAuth (OAuth2) & OpenID Connectにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Simple OAuth (OAuth2) & OpenID Connect 
●投稿日　：2026/11/5 JST
●セキュリティリスク　：Critical
●脆弱性　：Access bypass
●対象バージョン　： <5.2.6 || >=6.0.0 <6.0.10 || >=6.1.0 <6.1.4

==概要==

このモジュールは、OAuth 2.0認可サーバーの機能を提供します。アクセストークンによってDrupalインスタンスを保護したり、クライアントによる新しいアクセストークンの要求やリフレッシュを許可したりするよう設定できます。

このモジュールでは、コンシューマー設定へのアクセス制限が不十分です。コンシューマーを作成・編集できるユーザーが、悪意のあるコンシューマーを設定し、追加の権限を持つトークンを取得できる可能性があります。これにより、別のユーザーとしてサイトにアクセスでき、最大で管理者権限での完全なアクセスが可能になります。

この脆弱性は、攻撃者が「Add consumer entities」または「Update own consumer entities」権限を持つロールを持っている場合にのみ影響します。

==解決方法==

最新バージョンをインストールしてください。

• Simple OAuth (OAuth2) & OpenID Connect 6.1.xを利用している場合は Simple OAuth (OAuth2) & OpenID Connect 6.1.4 にアップデートしてください。
• Simple OAuth (OAuth2) & OpenID Connect 6.0.xを利用している場合は Simple OAuth (OAuth2) & OpenID Connect 6.0.10 にアップデートしてください。
• Simple OAuth (OAuth2) & OpenID Connect 5.2.xを利用している場合は Simple OAuth (OAuth2) & OpenID Connect 5.2.6 にアップデートしてください。

アップデート後は、追加の対応が必要です。

• コンシューマーが付与するアクセス権の設定には、新しい「Administer consumer access settings」権限が必要になります。この権限は、信頼できるロールにのみ付与してください。
• 6.1.xでは、Client Credentialsトークンは常にそのスコープに制限されるようになります。アップデートによって既存のコンシューマーが変更されることはありません。既存のコンシューマーを確認し、疑わしい場合はトークンを無効化してください。

==元記事==

https://www.drupal.org/sa-contrib-2026-296