Drupal Unpublished Node Permissionsにおける不適切な認証 (Incorrect Authorization) の脆弱性により、強制閲覧が可能になる。この問題は、Unpublished Node Permissions: 0.0.0より前のバージョンに影響する。1.7.0以前。

Drupal の 'Unpublished Node Permissions' モジュールにおける CVE-2026-4933 は、'不正な認証' の脆弱性を引き起こし、'強制閲覧' (Forceful Browsing) を可能にします。これは、適切な認証なしに、攻撃者が未公開ノード（ページ、記事など）にアクセスできることを意味します。これらのノードは、編集者や管理者など、特定のユーザーのみが作成またはレビュープロセス中に閲覧することを想定しています。認証の失敗により、これらの制限を回避し、不正なユーザーに機密情報や開発中の情報を公開する可能性があります。CVSS スコアが 7.5 であることは、緊急の対応が必要な高いリスクを示しています。この脆弱性は、1.7.0 より前のモジュールバージョンに影響します。影響は、未公開ノードの内容と、それらが保持する情報の機密性によって異なる場合があります。このリスクを軽減するために、モジュールを更新することが不可欠です。

Websites using Drupal 8.x with the Unpublished Node Permissions module installed and configured with overly permissive access controls are at significant risk. Sites with a large volume of unpublished content, or those handling sensitive information in drafts, are particularly vulnerable. Shared hosting environments where users have limited control over module versions are also at increased risk.

• drupal:

find /var/www/html/modules -name 'unpublish_node_permissions' -print

• drupal:

curl -I http://your-drupal-site.com/node/unpublished-node | grep 'HTTP/1.1 403' # Check for 403 Forbidden on unpublished nodes with proper access control

1. 2026-03-26Disclosure

   disclosure

1. 予約済み2026-03-26
2. 公開日2026-03-26
3. 更新日2026-04-01
4. EPSS 更新日2026-04-03

CVE-2026-4933 の主な軽減策は、'Unpublished Node Permissions' モジュールをバージョン 1.7.0 以降に更新することです。この更新により、'強制閲覧' を可能にする認証の欠陥が修正されます。更新する前に、データベースとサイトファイルを含む Drupal サイトの完全なバックアップを強く推奨します。更新後、サイトの機能が損なわれないこと、および脆弱性が効果的に解決されたことを確認するために、徹底的なテストが不可欠です。さらに、Drupal 内のユーザー権限ポリシーを見直し、強化して、承認されたユーザーのみが未公開ノードにアクセスできるようにする必要があります。サーバーログを定期的に監視して、疑わしいアクティビティがないか確認することも、良いセキュリティプラクティスです。