日本時間2026/10/8、Restrict route by IPにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Restrict route by IP 
●投稿日　：2026/10/8 JST
●セキュリティリスク　：Critical
●脆弱性　：Access bypass
●対象バージョン　： <1.3.1 || >=2.0.0 <2.0.1

==概要==

このモジュールは、IPアドレスによってルートへのアクセスを制限する機能を提供します。

このモジュールでは、一部の動的ルートに対する制限が確実に行われないため、Access bypassの脆弱性があります。影響の程度は、サイトがこのモジュールをどのように使用しているか、および動的ルートが存在するかどうかによって異なります。

==解決方法==

最新バージョンをインストールしてください。

日本時間2026/10/8、Actstreamにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Actstream 
●投稿日　：2026/10/8 JST
●セキュリティリスク　：Critical
●脆弱性　：Access bypass
●対象バージョン　： <2.0.1 || >=2.1.0 <2.1.1

==概要==

Actstream（Activity Stream）は、外部サービス（RSSフィードなど）からのユーザーのアクティビティを、ユーザーごとのアクティビティストリームエンティティに集約します。

このモジュールでは、設定用ルートにおいて、編集しているユーザーがアカウントの所有者（またはユーザー管理者）であることの確認が不十分であるため、Access bypassの脆弱性があります。

==解決方法==

最新バージョンをインストールしてください。

日本時間2026/10/8、Authenticator Login Plus (2FA)において脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Authenticator Login Plus (2FA) 
●投稿日　：2026/10/8 JST
●セキュリティリスク　：Critical
●脆弱性　：Improper authentication
●対象バージョン　： <1.0.1

==概要==

このモジュールは、DrupalにTOTPベースの2要素認証（2FA）を提供します。

このモジュールでは、Drupalコアのワンタイムログインリンクを使用してログインする場合に、第2要素が要求されません。

この脆弱性は、攻撃者が被害者のアカウントに対する有効なワンタイムログインリンクにアクセスできる場合にのみ影響します。

==解決方法==

最新バージョンをインストールしてください。

日本時間2026/10/8、Orphans Media において脆弱性が発表されました。
確認の上、対応をおすすめします。

●プロジェクト　： Orphans Media 
●投稿日　：2026/10/8 JST
●セキュリティリスク　：Critical
●脆弱性　：Unsupported

日本時間2026/10/8、MathJax: LaTeX for Drupalにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： MathJax: LaTeX for Drupal 
●投稿日　：2026/10/8 JST
●セキュリティリスク　：Critical
●脆弱性　：Cross site scripting
●対象バージョン　： <4.1.2

==概要==

このモジュールは、MathJaxライブラリをDrupalサイトに統合します。MathJaxは、インターネット向けの最新のJavaScriptベースのLaTeXレンダリングソリューションです。

このモジュールには、フォーマット対象のTeX内のJavaScriptをエスケープしないライブラリ設定が同梱されています。

日本時間2026/10/8、Entity Reference Manager (Merge entities)において脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Entity Reference Manager (Merge entities) 
●投稿日　：2026/10/8 JST
●セキュリティリスク　：Critical
●脆弱性　：Access bypass
●対象バージョン　： <1.0.3

==概要==

このモジュールは、サイト管理者がシステム全体のエンティティ参照を特定・分析・置換できる、Drupal向けの高度な管理機能を提供します。

このモジュールでは、すべてのエンティティ管理操作に対するアクセス制限が不十分です。コンテンツを閲覧できるユーザーが、エンティティのマージ機能にアクセスし、任意のノード、タクソノミー用語、またはメディアエンティティを削除できる状態です。

日本時間2026/10/8、ECA Helper において脆弱性が発表されました。
確認の上、対応をおすすめします。

●プロジェクト　： ECA Helper 
●投稿日　：2026/10/8 JST
●セキュリティリスク　：Critical
●脆弱性　：Unsupported

日本時間2026/10/8、Block AJAXにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Block AJAX 
●投稿日　：2026/10/8 JST
●セキュリティリスク　：Highly Critical
●脆弱性　：PHP object injection
●対象バージョン　： <3.0.2

==概要==

このモジュールは、Ajaxを使用して、ページの表示後にブロックを読み込む機能を提供します。

このモジュールでは、ブロックの構築に使用されるユーザー入力データの検証が不十分です。最も深刻な場合に、PHPオブジェクトインジェクションおよびリモートコード実行につながる可能性があります。

この脆弱性は、Layout Builderが有効化されているサイト（または、このモジュールが渡すデータを安全でない可能性のある方法で処理する他のブロックプラグインを利用しているサイト）にのみ影響します。

日本時間2026/9/24、Tawk.to - Live chat applicationにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Tawk.to - Live chat application 
●投稿日　：2026/9/24 JST
●セキュリティリスク　：Critical
●脆弱性　：Cross Site Request Forgery
●対象バージョン　： <3.0.4

==概要==

このモジュールは、Drupalサイトにtawk.toのライブチャット機能を提供します。

このモジュールでは、特定のリクエストの検証が不十分です。このため、攻撃者は認証済みユーザーを誘導し、クロスサイトリクエストフォージェリ（CSRF）を通じて意図しない操作を実行させる可能性があります。

==解決方法==

最新バージョンをインストールしてください。

日本時間2026/9/24、Project Browserにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Project Browser 
●投稿日　：2026/9/24 JST
●セキュリティリスク　：Critical
●脆弱性　：Cross-site request forgery
●対象バージョン　： <2.0.3 || >=2.1.0 <2.1.5

==概要==

このモジュールは、Web管理画面からレシピの適用やモジュールの有効化を行える機能を提供します。

このモジュールでは、管理者向けの操作に対するクロスサイトリクエストフォージェリ（CSRF）対策のための検証が十分に行われていません。

==解決方法==

最新バージョンをインストールしてください。