自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは 10.6.19より前の 10.6.x、11.3.19 より前の 11.3.x、および 11.4.10より前の 11.4.xです。したがって、複数の脆弱性の影響を受けます。

  - Drupal コアのリンクモジュールは、内部および外部 URL に使用できるフィールドタイプを提供します。モジュールは特定の状況で特定のマークアップを十分にサニタイズしないため、クロスサイトスクリプティング(XSS)の脆弱性につながる可能性があります。(CVE-2026-108515)

  - ナビゲーションモジュールが特定の属性を十分にサニタイズしないため、クロスサイトスクリプティング(XSS)脆弱性が発生する可能性があります。攻撃者が特定のデータ属性を含む HTML タグを入力する権限、または管理者メニュー権限のあるロールを持っている必要があるという事実により、脆弱性は緩和されています。(CVE-2026-108514)

  - リモートでコードが実行される脆弱性がDrupalコアのField UIモジュールにあります。コアだけでは脆弱性を直接悪用できませんが、投稿されたモジュールには複数の重大な悪用経路が存在します。少なくとも 1 つの既知の悪用経路は認証を必要としません。カスタムコードによって脆弱な機能が漏洩されることもあります。この脆弱性は、サイトの更新中に保護を提供するコア Field UI モジュール(field_ui)をアンインストールすることで緩和できます。Drupal Steward 保護:この問題は Drupal Steward によって保護されています。Drupal Steward を使用するサイトは、一部の既知の攻撃ベクトルからすでに保護されていますが、提供される保護はすべての可能性のある悪用をカバーするわけではありません。追加の攻撃ベクトルが発見された場合に備えて、サイトを近いうちにアップグレードする必要があります。(CVE-2026-108097)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Drupal 10.6.x < 10.6.19/11.3.x < 11.3.19/11.4.x < 11.4.10の複数の脆弱性（drupal-2026-10-14）

medium Nessus プラグイン ID 365678

バージョン 1.3