Drupal Core クロスサイトスクリプティング (XSS)

Drupal Core の CVE-2024-12393 は、JavaScript を使用してステータスメッセージがレンダリングされる方法に影響を与えます。特定の構成では、これらのメッセージは適切にサニタイズされず、攻撃者が悪意のある JavaScript コードを挿入できる可能性があります。このコードはユーザーのブラウザで実行され、ウェブサイトのセキュリティを損なう可能性があります。この脆弱性の深刻度は CVSS スケールで 5.4 と評価されており、中程度のリスクを示しています。影響を受けるバージョンには、Drupal Core 8.8.0 から 10.2.11 まで、10.3.0 から 10.3.9 まで、11.0.0 から 11.0.8 までのものがあります。悪用が成功すると、任意のコードの実行、機密情報の窃盗、またはウェブサイトの操作につながる可能性があります。

1. 予約済み2024-12-09
2. 公開日2024-12-10
3. 更新日2025-12-10
4. EPSS 更新日2026-04-02

推奨される解決策は、Drupal Core をパッチが適用されたバージョンに更新することです。具体的には、バージョン 10.2.11 以降、10.3.9 以降、または 11.0.8 以降に更新してください。これらのバージョンには、ステータスメッセージの JavaScript サニタイズの脆弱性を修正するパッチが含まれています。直ちに更新できない場合は、一時的な軽減策を実装することを検討してください。たとえば、カスタム JavaScript コードを注意深く確認し、JavaScript でレンダリングされたステータスメッセージを使用する機能を一時的に無効にしてください。悪用のリスクを最小限に抑えるために、できるだけ早く更新を適用することが重要です。更新後、ウェブサイトの機能を確保するために徹底的なテストを実施する必要があります。