Drupal 7 Internationalization (i18n) モジュールにおいて、i18n_node サブモジュールは、「コンテンツの翻訳」および「コンテンツ翻訳の管理」の権限を持つユーザーが、翻訳 UIとそのオートコンプリートウィジェットを介して未公開ノードを表示および添付できる。これにより、意図されたアクセス制御を回避し、未公開ノードのタイトルとIDを公開する。 脆弱性はバージョン 7.x-1.0 から 7.x-1.35 までに影響する。

Drupal 7の国際化 (i18n) モジュールにおけるCVE-2026-0748は、「コンテンツの翻訳」および「コンテンツ翻訳の管理」の権限を持つユーザーが、翻訳UIとそのオートコンプリートウィジェットを通じて未公開ノードを表示および添付することを可能にします。これにより、意図されたアクセス制御が回避され、未公開ノードのタイトルとIDが公開されます。この脆弱性は、特に公開前に機密または機密情報を取り扱うDrupal 7サイトにとって重大なリスクをもたらします。未公開コンテンツへのアクセスは、データ侵害につながり、サイトの整合性を損なう可能性があります。必要な権限が比較的一般的であるため、悪用の可能性が高まります。ノードIDの公開は、サイトの他のコンポーネントへのさらなる攻撃を容易にする可能性があります。直接的な修正がない (fix: none) ため、脆弱なサイトを保護するために、直ちに軽減策を講じる必要があります。

Websites running Drupal 7 with the Internationalization (i18n) module installed are at risk. Specifically, sites where users have been granted both "Translate content" and "Administer content translations" permissions are particularly vulnerable, even if those users are not typically involved in content creation.

• wordpress / composer / npm:

grep -r "i18n_node_autocomplete" /var/www/drupal7/

• generic web:

curl -I http://your-drupal-site.com/admin/config/regional/i18n-node

• generic web: Check Drupal logs for unusual activity related to node translations or access attempts by users with 'Translate content' and 'Administer content translations' permissions.

1. 2026-03-26Disclosure

   disclosure

1. 予約済み2026-01-08
2. 公開日2026-03-26
3. 更新日2026-04-01
4. EPSS 更新日2026-04-03

公式の修正がない (fix: none) ため、CVE-2026-0748の軽減には慎重なアプローチが必要です。主な推奨事項は、「コンテンツの翻訳」および「コンテンツ翻訳の管理」の権限を必要最小限に厳密に制限することです。権限構成の誤りを特定して修正するために、包括的な権限監査を実施してください。サイトの機能に不可欠でない場合は、i18nモジュールを無効にすることを検討してください。翻訳インターフェースに関連する疑わしいアクティビティについて、サイトログを積極的に監視してください。最小権限の原則を適用することが、代替ソリューションが見つかるまで利用可能な最良の防御です。Drupalのより新しいバージョン (7.xを超える) へのアップグレードは、最も安全な長期的なソリューションですが、慎重な計画と実行が必要です。