自己報告されたバージョン番号によると、検出されたDrupalアプリケーションは複数の脆弱性の影響を受けます:

- Image モジュールは、非プライベートファイルストリームを通じて提供される場合、画像スタイル派生物のアクセス権限を適切に検証できません。これにより、Drupal が寄与された非コアファイルスキームを使用するように構成された場合、情報漏洩を引き起こす可能性があります。(CVE-2026-15916)

- Drupal コアでの XSS フィルターは、特定の HTMX 属性を十分にサニタイズできません。これにより、HTML を挿入できる攻撃者は、クロスサイトスクリプティング(XSS)攻撃を発生させることができます。(CVE-2026-15917)

- 攻撃者とターゲットの両方がレイアウトビルダーの編集にアクセスできる特定のシナリオで、レイアウトビルダーモジュールがブロックラベルを十分にサニタイズできず、クロスサイトスクリプティング(XSS)の脆弱性が発生する可能性があります。(CVE-2026-55805)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは 10.6.13より前の 10.6.x、11.3.14 より前の 11.3.x、および 11.4.4より前の 11.4.xです。したがって、複数の脆弱性の影響を受けます。

  - Drupalコア 11.2 以上は、HTMX JavaScript ライブラリを統合します。Drupal コアの XSS フィルターが、特定の HTMX 属性を十分にサニタイズしません。これにより、クロスサイトスクリプティング(XSS)脆弱性が発生する可能性があります。攻撃者が特定の属性を持つ HTML を挿入できなければならないという事実により、脆弱性は緩和されます。(CVE-2026-15917)

  - レイアウトビルダーモジュールは、特定のシナリオにおいてブロックラベルを十分にサニタイズしないため、クロスサイトスクリプティング(XSS)の脆弱性につながる可能性があります。これは、攻撃者と標的のユーザーの両方がレイアウトビルダーの編集インターフェイスを使用している必要があるという事実により緩和されます。(CVE-2026-55805)

  - イメージモジュールでは、イメージフィールドを定義および構成できます。このモジュールは、イメージスタイル派生物へのアクセスが、private:// 以外のファイルストリームを介して提供される際に、十分にチェックしません。
    この脆弱性は、プライベート派生イメージを提供するために、投稿された(非コアの)ファイルスキーマを使用するように Drupal を構成する必要があるという事実により緩和されます。このような情報漏洩の問題は、( PSA-2023-07-12 で説明されているように)セキュリティアドバイザリで通常与えられていません。この修正は強化策として提供されます。
    カスタムストリームラッパーを実装する寄与されるモジュールは、同様の強化を追加する必要があるかもしれません。
    (CVE-2026-15916)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115306	Drupal 11.4.x < 11.4.4複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/17	2026/7/17	medium
115308	Drupal 10.6.x < 10.6.13複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/17	2026/7/17	medium
115307	Drupal 11.3.x < 11.3.14複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/17	2026/7/17	medium
327097	Drupal 10.6.x< 10.6.13/11.3.x < 11.3.14/11.4.x < 11.4.4の複数の脆弱性 (drupal-2026-07-15)	Nessus	CGI abuses	2026/7/15	2026/8/27	medium

検出

プラグインの検索

medium

medium

medium

medium