Drupal Core クロスサイトスクリプティング (XSS) の脆弱性

Drupal Core の CVE-2025-31675 は、クロスサイトスクリプティング (XSS) の脆弱性です。これは、攻撃者が Drupal サイトの Web ページに悪意のあるコードを注入し、そのページを訪問するユーザーのブラウザでそのコードが実行される可能性があることを意味します。潜在的な影響には、機密情報の窃盗 (セッションクッキーなど)、悪意のある Web サイトへのユーザーのリダイレクト、またはページコンテンツの改ざんが含まれます。この脆弱性は、複数の Drupal Core バージョンに影響します。8.0.0 から 10.3.13、10.4.0 から 10.4.4、11.0.0 から 11.0.12、および 11.1.0 から 11.1.4 までです。このリスクを軽減するためには、Drupal Core をパッチが適用されたバージョンに更新することが重要です。この問題の根本原因は、Web ページ生成中に適切な入力の無効化が行われていないことであり、悪意のあるコードの注入が可能になります。

Websites running Drupal Core versions 8.0.0 before 10.3.14, 10.4.0 before 10.4.5, 11.0.0 before 11.0.13, and 11.1.0 before 11.1.5 are at risk. This includes organizations relying on Drupal for content management, e-commerce, or other web applications, particularly those with user-generated content or forms that accept user input.

• drupal: Check Drupal core version using drush --version. • drupal: Review Drupal logs (sites/[site]/logs/drupal.log) for suspicious JavaScript injection attempts. • generic web: Use curl -I <URL> to inspect response headers for unusual script tags or encoded characters. • generic web: Monitor access logs for requests containing suspicious URL parameters or POST data that could be exploited for XSS.

1. 2025-04-01Disclosure

   disclosure

1. 予約済み2025-03-31
2. 公開日2025-04-01
3. 更新日2026-04-06
4. EPSS 更新日2026-03-23

CVE-2025-31675 を軽減するための主な解決策は、Drupal Core をバージョン 10.3.14 以降、10.4.5 以降、11.0.13 以降、または 11.1.5 以降に更新することです。これらのバージョンには、XSS コードの注入を防ぐために必要な修正が含まれています。さらに、ユーザー入力とやり取りする可能性のあるカスタムまたはサードパーティ製モジュールをレビューおよび更新する必要があります。コンテンツセキュリティポリシー (CSP) を実装することで、ブラウザがロードできるコンテンツのソースを制限し、追加の保護レイヤーを提供できます。サーバーログを監視して疑わしいアクティビティを検出することも、潜在的な攻撃に対応するのに役立ちます。これらのセキュリティ対策を適用することで、Drupal サイトをこの脆弱性の悪用から保護できます。