Drupal Core の脆弱性について (SA-CORE-2022-008)

アドバイザリーID: DRUPAL-SA-CORE-2022-008

プロジェクト: Drupal core
日付: 2022 年 4 月 20日
セキュリティーリスク：中程度　リスクレベル 12 (最大 25) 
AC:Basic/A:User/CI:Some/II:Some/E:Theoretical/TD:Uncommon
脆弱性：不適切な入力バリデーション

詳細

Drupal core のフォーム API には、脆弱性により特定のコントリビュートモジュールまたはカスタムモジュールのフォームが不適切な入力を受け入れる可能性があります。これにより、攻撃者は許可されていない値を注入したり、データを上書きしたりすることができます。影響を受けるフォームはまれですが、特定のケースでは、攻撃者が重要なデータや機密データを改ざんする可能性があります。

Core 自身に影響を受けるフォームはありませんが、コントリビュートフォームやカスタムプロジェクトのフォームが影響を受ける可能性があります。このアップデートをインストールすると、これらのフォームが修正されます。

対応方法

以下の最新バージョンをインストールしてください。

• Drupal 9.3 をご利用の場合は Drupal 9.3.12 へアップデートしてください
• Drupal 9.2 をご利用の場合は Drupal 9.2.18 へアップデートしてください

Drupal 9 のバージョンで 9.2 より以前のものは全てサポートが終了しており、セキュリティーリリースの適用を受けることはできません。Drupal 8 はすでにサポートが終了していることにご注意下さい。

Drupal 7 には影響はありません。