日本時間2026/10/22、Monster Menusにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Monster Menus 
●投稿日　：2026/10/22 JST
●セキュリティリスク　：Critical
●脆弱性　：PHP object injection
●対象バージョン　： <9.5.6

==概要==

このモジュールは、非常にきめ細かなページ権限を持つ、1つ以上のマルチサイトを作成する機能を提供します。同梱のRSS Pageサブモジュールを使用すると、1つ以上のRSSフィードを集約するノードを作成できます。

このモジュールでは、ノード作成フォームの入力を処理する際にPHPのunserialize関数を使用しているため、PHPオブジェクトインジェクションの脆弱性があります。

日本時間2026/10/22、Dopupにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Dopup 
●投稿日　：2026/10/22 JST
●セキュリティリスク　：Critical
●脆弱性　：Information disclosure
●対象バージョン　： <1.0.7

==概要==

このモジュールは、Webformを選択し、操作するための機能を提供します。

このモジュールでは、場合によってエンティティアクセスのチェックが不十分であり、非公開のWebformのタイトルが開示される可能性があります。

==解決方法==

最新バージョンをインストールしてください。

Dopupモジュールを利用している場合は Dopup 1.0.7 にアップデートしてください。

日本時間2026/10/22、Custom Formattersにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Custom Formatters 
●投稿日　：2026/10/22 JST
●セキュリティリスク　：Critical
●脆弱性　：Remote code execution
●対象バージョン　： <4.2.1

==概要==

このモジュールは、カスタムモジュールを作成することなく、管理画面からカスタムフィールドフォーマッターを簡単に作成できる機能を提供します。

このモジュールでは、PHPフォーマッターエンジンがeval()を実行してユーザーが指定したPHPコードを実行するため、サイト上で任意のPHPコードが実行される可能性があります。パーミッションの設定画面には、この動作についての表示がありません。

==解決方法==

最新バージョンをインストールしてください。

日本時間2026/10/22、ABCにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： ABC 
●投稿日　：2026/10/22 JST
●セキュリティリスク　：Critical
●脆弱性　：Cross-site scripting
●対象バージョン　： <1.25.0 || >=2.0.0 <2.0.1

==概要==

このテーマは、Drupalサイト向けに、設定可能なレイアウトとビジュアルスタイルを提供します。ナビゲーションメニューでのFont Awesomeアイコンのサポートも含まれます。

このテーマでは、メニューリンクのタイトルをHTMLのclass属性に挿入する前に、十分にサニタイズされていません。

この脆弱性は、攻撃者が、メニュー管理画面、または許可されている場合はコンテンツのメニュー設定を通じて、メニューリンクのタイトルを作成または変更できる場合にのみ影響します。

日本時間2026/10/22、Black Holeにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Black Hole 
●投稿日　：2026/10/22 JST
●セキュリティリスク　：Critical
●脆弱性　：Cross-site scripting
●対象バージョン　： <1.26.0 || >=2.0.0 <2.0.1

==概要==

このテーマは、Drupalサイト向けに、設定可能なレイアウトとビジュアルスタイルを提供します。ナビゲーションメニューでのFont Awesomeアイコンのサポートも含まれます。

このテーマでは、メニューリンクのタイトルをHTMLのclass属性に挿入する前に、十分にサニタイズされていません。

この脆弱性は、攻撃者が、メニュー管理画面、または許可されている場合はコンテンツのメニュー設定を通じて、メニューリンクのタイトルを作成または変更できる場合にのみ影響します。

日本時間2026/10/22、Zero Pointにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Zero Point 
●投稿日　：2026/10/22 JST
●セキュリティリスク　：Critical
●脆弱性　：Cross-site scripting
●対象バージョン　： <1.30.0 || >=2.0.0 <2.0.1

==概要==

このテーマは、Drupalサイト向けに、設定可能なレイアウトとビジュアルスタイルを提供します。ナビゲーションメニューでのFont Awesomeアイコンのサポートも含まれます。

このテーマでは、メニューリンクのタイトルをHTMLのclass属性に挿入する前に、十分にサニタイズされていません。

この脆弱性は、攻撃者が、メニュー管理画面、または許可されている場合はコンテンツのメニュー設定を通じて、メニューリンクのタイトルを作成または変更できる場合にのみ影響します。

日本時間2026/10/22、UI Iconsにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： UI Icons 
●投稿日　：2026/10/22 JST
●セキュリティリスク　：Critical
●脆弱性　：Cross site scripting
●対象バージョン　： <1.1.3 || >=2.0.0 <2.0.2

==概要==

このモジュールは、アイコンを選択・設定するためのユーザーインターフェースを提供します。フォーム要素、テキストフォーマットフィルター、および複数の連携機能が含まれます。

このモジュールでは、ユーザーが指定したアイコン設定が、レンダリングされる前に十分に検証されていません。

==解決方法==

最新バージョンをインストールしてください。

日本時間2026/10/22、Ffmpeg Image Toolkitにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Ffmpeg Image Toolkit 
●投稿日　：2026/10/22 JST
●セキュリティリスク　：Highly Critical
●脆弱性　：Remote Code Execution
●対象バージョン　： <1.0.3

==概要==

このモジュールは、画像変換にffmpegを使用する機能を提供します。

このモジュールでは、ffmpegのCLIツールに渡すファイル名のサニタイズが不十分です。

この脆弱性は、攻撃者がサイトに画像をアップロードできる場合にのみ影響します。

==解決方法==

最新バージョンをインストールしてください。

日本時間2026/10/15、Entity Listにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Entity List 
●投稿日　：2026/10/15 JST
●セキュリティリスク　：Critical
●脆弱性　：Remote code execution
●対象バージョン　： <3.0.10

==概要==

このモジュールは、Viewsを使用せずにエンティティのリストを作成する機能を提供します。

このモジュールには、リモートコード実行の脆弱性があります。

この脆弱性は、このモジュール単体では直接悪用できませんが、他のコントリビュートモジュールと組み合わせることで、複数の深刻な攻撃経路が存在します。少なくとも1つの既知の攻撃経路は、認証を必要としません。カスタムコードによって、脆弱な機能が公開されている場合もあります。

==解決方法==

最新バージョンをインストールしてください。

日本時間2026/10/15、Drupalコアにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Drupalコア 
●投稿日　：2026/10/15 JST
●セキュリティリスク　：Critical
●脆弱性　：Remote code execution
●対象バージョン　： >=8.9.0 <10.6.19 || >=11.0.0 <11.3.19 || >=11.4.0 <11.4.10 || >=12.0.0-alpha1 <12.0.0-beta2

==概要==

DrupalコアのField UIモジュールに、リモートコード実行の脆弱性が存在します。

この脆弱性は、コア単体では直接悪用できませんが、コントリビュートモジュールと組み合わせることで、複数の深刻な攻撃経路が存在します。少なくとも1つの既知の攻撃経路は、認証を必要としません。カスタムコードによって、脆弱な機能が公開されている場合もあります。