REST & JSON API Authentication for Drupal - Critical - Access bypass - SA-CONTRIB-2026-298
Critical
拡張モジュール
日本時間2026/11/5、REST & JSON API Authentication for Drupalにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： REST & JSON API Authentication for Drupal
●投稿日 ：2026/11/5 JST
●セキュリティリスク ：Critical
●脆弱性 ：Access bypass
●対象バージョン ： <3.2.1
==概要==
このモジュールは、DrupalサイトにAPI認証を提供します。
このモジュールでは、APIキーが未設定の場合にリクエストが適切に拒否されないため、認証されていない攻撃者が認証を回避し、保護されたリソースにアクセスしたり、変更したりできる可能性があります。API認証が有効になっていて、アプリケーションのAPIキーが生成されていないサイトが影響を受けます。
==解決方法==
最新バージョンをインストールしてください。
REST & JSON API Authentication for Drupalモジュールを利用している場合は REST & JSON API Authentication 3.2.1 にアップデートしてください。
すぐにアップデートできない場合は、APIキーが生成されていることを確認し、ログで管理者ユーザーによる不審なアクセスがないか確認してください。
