Drupal Core の脆弱性について (SA-CORE-2025-004)

この記事は「 Drupal core - Moderately critical - Cross Site Scripting - SA-CORE-2025-004 」の翻訳です。

この記事の目次

アドバイザリーID: DRUPAL-SA-CORE-2025-004

元記事：https://www.drupal.org/sa-core-2025-004
プロジェクト: Drupal core
日付: 2025年3月19日
セキュリティーリスク：中程度　リスクレベル13 (最大25)
AC:Basic/A:User/CI:Some/II:Some/E:Theoretical/TD:Default
脆弱性：XSS（クロス・サイト・スクリプティング）
影響を受けるバージョン：>= 8.0.0 < 10.3.14 || >= 10.4.0 < 10.4.5 || >= 11.0.0 < 11.0.13 || >= 11.1.0 < 11.1.5

詳細

Drupalコアのリンクフィールド属性が十分にサニタイズされていないため、クロスサイトスクリプティング（XSS）脆弱性が発生する可能性があります。この脆弱性は、攻撃者がリンクフィールドに特定の属性を追加する権限を持っている必要があるので危険性は軽減されます。通常、攻撃のためにはコアWebサービスまたはモジュールを介した編集権限が必要です。リンクモジュールが無効になっているサイト、またはリンクフィールドを使用していないサイトは影響を受けません。