2020/5/27(日本時間：GMT+9)、拡張モジュールにおいて脆弱性が発見されました。

インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●プロジェクト　：Password Reset Landing Page (PRLP)

●投稿日　：2020/5/27

●セキュリティリスク　： Highly Critical

●脆弱性　：Access bypass

==概要==

このモジュールを使用すると、パスワードリセットリンクを使用しパスワードを強制的に更新できます。
このモジュールはログインURLを十分に検証していないため、悪意のあるユーザが特別に細工された URL を使って別のユーザとしてログインすることができます。

2020/5/13(日本時間：GMT+9)、拡張モジュールにおいて脆弱性が発見されました。

インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●プロジェクト　：reCAPTCHA v3

●投稿日　：2020/5/13

●セキュリティリスク　： Critical

●脆弱性　：Access bypass

==概要==

reCaptcha v3モジュールはGoogle reCaptcha V3を使ってフォームを保護することを可能にします。

reCaptcha v3のchallengeが成功すると、他のすべてのフォーム検証がバイパスされます。

これにより、攻撃者は無効なフォームや不完全なフォームを送信することが可能になります。

この脆弱性は、reCaptcha v3で保護されており、サーバー側の検証ステップ（必須フィールドやカスタム検証機能など）を持つフォームにのみ影響を与えます。

2020/5/13(日本時間：GMT+9)、拡張モジュールにおいて脆弱性が発見されました。

インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●プロジェクト　：Webform

●投稿日　：2020/5/13

●セキュリティリスク　： Critical

●脆弱性　：Access bypass

==概要==

このWebformモジュールは 'Term checkboxes' 要素を作成します。

このモジュールは 'Term checkboxes' 要素をレンダリングする際に、用語の 'view' アクセスを十分にチェックしていません。
未公開の用語は常に 'Term checkboxes' 要素に表示されます。

2020/5/6(日本時間：GMT+9)、拡張モジュールにおいて脆弱性が発見されました。

インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●プロジェクト　：Webform

●投稿日　：2020/5/6

●セキュリティリスク　： Critical

●脆弱性　：Access bypass

==概要==

このWebフォームモジュールを使用すると、「Term select」および「Term checkboxes」要素を作成できます。

モジュールは、「Term select」および「Term checkboxes」要素をレンダリングするときに、「view」アクセスを十分にチェックしません。

未公開の用語は、「Term select」および「Term checkboxes」要素に常に表示されます。

2020/5/6(日本時間：GMT+9)、拡張モジュールにおいて脆弱性が発見されました。

インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●プロジェクト　：Webform

●投稿日　：2020/5/6

●セキュリティリスク　： Critical

●脆弱性　：Remote Code Execution

==概要==

このモジュールは、Drupalでフォームと調査の作成ができます。

このモジュールは、Webformを編集するシナリオでは、Webフォーム要素のプロパティ（属性）を十分にフィルタリングしません。

悪意のあるユーザーが、望ましくないPHPコードの実行を呼び出すような属性（#element_validateなど）を作成する可能性があります。

2020/4/15(日本時間：GMT+9)、拡張モジュールにおいて脆弱性が発見されました。

インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●プロジェクト　：JSON:API

●投稿日　：2020/4/15

●セキュリティリスク　： Critical

●脆弱性　：Unsupported

==概要==

このモジュールにより、JSON APIに準拠し、Drupalコンテンツおよびコンフィギュレーションエンティティへのアクセスと操作が可能な APIを提供するものです。

2020/4/8(日本時間：GMT+9)、拡張モジュールにおいて脆弱性が発見されました。

インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●プロジェクト　：Spamicide

●投稿日　：2020/4/8

●セキュリティリスク　： Critical

●脆弱性　：Access bypass

==概要==

Spamicide モジュールは、通常のユーザーには見えない、スパムボット用のフォームフィールドで Drupalのフォームを保護します。

モジュールは、アクセスバイパスにつながる管理ページに、適切な権限を必要としません。

2020/3/25(日本時間：GMT+9)、拡張モジュールにおいて脆弱性が発見されました。

インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●プロジェクト　：Svg Image

●投稿日　：2020/3/25

●セキュリティリスク　： Critical

●脆弱性　：Cross site scripting

==概要==

Svg Imageモジュールにより、SVGファイルをアップロードできます。

モジュールは、クロスサイトスクリプティングの脆弱性につながるSVGファイル内の悪意のあるコードから十分に保護しませんでした。

この脆弱性は、攻撃者がSVGファイルをアップロードする権限を持っている必要があるという事実によって緩和されます。

2020/3/11(日本時間：GMT+9)、拡張モジュールにおいて脆弱性が発見されました。

インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●プロジェクト　：SAML Service Provider

●投稿日　：2020/3/11

●セキュリティリスク　： Critical

●脆弱性　：Access bypass

==概要==

このモジュールによって、外部SAML IDプロバイダーを使ったDrupalユーザーの認証を行うことが可能となります。

訪問者がユーザーアカウントの登録を行えるよう、サイトが構成されている一方で、管理者の承認を必要とする場合でも、要求元のユーザーがすでにSAMLを通じて認証を受けていれば、モジュールは管理者の承認要件を十分には実施しません。

2020/3/4(日本時間：GMT+9)、拡張モジュールにおいて脆弱性が発見されました。

インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●プロジェクト　：SVG Formatter

●投稿日　：2020/3/4

●セキュリティリスク　： Critical

●脆弱性　：Cross site scripting

==概要==

SVG Formatterモジュールは、WebサイトでSVG画像を使用するためのサポートを提供します。

このセキュリティリリースは、SVG Formatterに含まれているか、SVG Formatterに必要なサードパーティの依存関係を修正します。

XSS bypass using entities and tab