日本時間2026/11/12、GraphQL Core Schemaにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： GraphQL Core Schema
●投稿日 ：2026/11/12 JST
●セキュリティリスク ：Critical
●脆弱性 ：Improper authorization
●対象バージョン ： <1.0.29
このモジュールは、Drupalのエンティティとフィールド向けに、設定可能なGraphQLスキーマジェネレーターを提供します。ユーザーログインやパスワード管理など、一般的なタスク向けのオプションのスキーマ拡張も含まれます。
日本時間2026/11/5、Reset Password Email/SMS OTPにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： Reset Password Email/SMS OTP
●投稿日 ：2026/11/5 JST
●セキュリティリスク ：Critical
●脆弱性 ：Access bypass
●対象バージョン ： <1.0.5
このモジュールは、パスワードリセット用のリンクではなく、メールまたはSMSで送信されるワンタイムパスコードによってパスワードをリセットできる機能を提供します。
このモジュールでは、ブロックされたユーザーのパスワードリセットに対する検証が不十分です。
この脆弱性は、適切な権限を持つ人が、影響を受けるユーザーのブロックを解除した場合にのみ、攻撃者が新しいパスワードを使用できます。
日本時間2026/11/5、Commerce Product Alternativeにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： Commerce Product Alternative
●投稿日 ：2026/11/5 JST
●セキュリティリスク ：Critical
●脆弱性 ：Access bypass
●対象バージョン ： <1.0.1
このモジュールは、顧客がカート内の商品を、その商品に設定された代替の商品バリエーションのいずれかに置き換えられる機能を提供します。
このモジュールでは、ログインしていない訪問者の場合に、カートが現在の訪問者のものであるかどうかを確認していません。匿名の訪問者が、他の匿名の訪問者のカート内の商品（商品名や価格を含む）を閲覧し、それらの商品を、設定された代替商品のいずれかに置き換えることができます。
日本時間2026/11/5、Highlight Js syntax highlighterにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： Highlight Js syntax highlighter
●投稿日 ：2026/11/5 JST
●セキュリティリスク ：Critical
●脆弱性 ：Cross-site scripting
●対象バージョン ： <1.3.1
このモジュールは、CKEditor 5を使用して、コンテンツにシンタックスハイライト付きのコードスニペットを追加できる機能を提供します。
このモジュールでは、CKEditor 5のプレビュー用エンドポイントに渡される入力の検証が不十分であるため、反射型クロスサイトスクリプティング（XSS）の脆弱性があります。
最新バージョンをインストールしてください。
日本時間2026/11/5、REST & JSON API Authentication for Drupalにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： REST & JSON API Authentication for Drupal
●投稿日 ：2026/11/5 JST
●セキュリティリスク ：Critical
●脆弱性 ：Access bypass
●対象バージョン ： <3.2.1
このモジュールは、DrupalサイトにAPI認証を提供します。
このモジュールでは、APIキーが未設定の場合にリクエストが適切に拒否されないため、認証されていない攻撃者が認証を回避し、保護されたリソースにアクセスしたり、変更したりできる可能性があります。API認証が有効になっていて、アプリケーションのAPIキーが生成されていないサイトが影響を受けます。
日本時間2026/11/5、Workflow Notificationsにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： Workflow Notifications
●投稿日 ：2026/11/5 JST
●セキュリティリスク ：Critical
●脆弱性 ：Access bypass
●対象バージョン ： <3.0.3
このモジュールは、Workflowのステートが変更されたときに、ユーザーへメッセージ（「通知」）を送信する機能を提供します。
このモジュールでは、通知の設定ページの保護が不十分であるため、攻撃者が不正に変更を加えることができます。
最新バージョンをインストールしてください。
日本時間2026/11/5、Simple OAuth (OAuth2) & OpenID Connectにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： Simple OAuth (OAuth2) & OpenID Connect
●投稿日 ：2026/11/5 JST
●セキュリティリスク ：Critical
●脆弱性 ：Access bypass
●対象バージョン ： <5.2.6 || >=6.0.0 <6.0.10 || >=6.1.0 <6.1.4
このモジュールは、OAuth 2.0認可サーバーの機能を提供します。アクセストークンによってDrupalインスタンスを保護したり、クライアントによる新しいアクセストークンの要求やリフレッシュを許可したりするよう設定できます。
日本時間2026/11/5、S3 File System CORS Uploadにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： S3 File System CORS Upload
●投稿日 ：2026/11/5 JST
●セキュリティリスク ：Critical
●脆弱性 ：Access bypass
●対象バージョン ： <1.3.0
このモジュールは、ブラウザからAmazon S3へ直接ファイルをアップロードし、Drupalのファイルとして登録できる機能を提供します。通常のPHPのファイルサイズ制限やタイムアウト制限を回避できます。
このモジュールでは、ファイルアップロードに対するアクセスチェックが不十分です。特定の状況下では、ユーザーがアクセス権を持たないファイルを削除できます。
最新バージョンをインストールしてください。
日本時間2026/11/5、Content Synchronizerにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： Content Synchronizer
●投稿日 ：2026/11/5 JST
●セキュリティリスク ：Critical
●脆弱性 ：Remote code execution
●対象バージョン ： <4.1.1
このモジュールは、アップロードされたアーカイブファイルを使用して、Drupalサイト間でコンテンツをエクスポート・インポートする機能を提供します。
このモジュールでは、悪意を持って細工されたインポートファイルにより、信頼できないデータがデシリアライズされ（PHPオブジェクトインジェクション、CWE-502）、リモートコード実行につながる可能性があります。
最新バージョンをインストールしてください。
日本時間2026/11/5、GroupEx PRO ( Daxko ) integrationにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： GroupEx PRO ( Daxko ) integration
●投稿日 ：2026/11/5 JST
●セキュリティリスク ：Critical
●脆弱性 ：PHP object injection
●対象バージョン ： <2.2.1
このモジュールは、Open Yから切り離された、GroupEx PROシステムとの連携機能を提供します。
このモジュールでは、一部のシナリオでユーザー入力の検証が不十分であるため、任意のリモートコード実行につながる可能性があります。
