GraphQL Core Schema - Critical - Improper authorization - SA-CONTRIB-2026-316
Critical
拡張モジュール
日本時間2026/11/12、GraphQL Core Schemaにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： GraphQL Core Schema
●投稿日 ：2026/11/12 JST
●セキュリティリスク ：Critical
●脆弱性 ：Improper authorization
●対象バージョン ： <1.0.29
==概要==
このモジュールは、Drupalのエンティティとフィールド向けに、設定可能なGraphQLスキーマジェネレーターを提供します。ユーザーログインやパスワード管理など、一般的なタスク向けのオプションのスキーマ拡張も含まれます。
このモジュールでは、GraphQL API経由でユーザーのパスワードを変更する際のアクセスチェックが不十分です。他のユーザーのアカウントを閲覧できるユーザーが、そのアカウントのパスワードを変更でき、管理者アカウントも対象になります。これにより、アカウントが完全に乗っ取られる可能性があります。
この脆弱性は、GraphQLサーバーで「User Login」スキーマ拡張が有効になっている場合にのみ影響します。
==解決方法==
最新バージョンをインストールしてください。
GraphQL Core Schemaモジュールを利用している場合は GraphQL Core 1.0.29 にアップデートしてください。
すぐにアップデートできないサイトは、アップデートするまでの間、GraphQLサーバーで「User Login」スキーマ拡張を無効にできます。これにより、GraphQLのログインおよびパスワードのミューテーションも無効になるため、これらに依存しているデカップルドフロントエンドがある場合は注意してください。
