Ryunosuke Matsuoka
DrupalCMSラボ 編集部
アドバイザリーID: SA-CORE-2026-003
プロジェクト: Drupal core
日付: 2026 年 4 月 15 日
セキュリティーリスク：Moderately critical 13/25 AC:Basic/A:User/CI:Some/II:Some/E:Theoretical/TD:Default
脆弱性：Cross-site scripting
影響を受けるバージョン：>= 11.3.0 < 11.3.7
CVE ID: CVE-2026-6367
詳細
Drupal 11.3には、CKEditor 5にリンクを追加する際にエンティティのサジェスション（候補）を補完する機能が搭載されています。
このサジェスションが十分にサニタイズされておらず、悪意のあるユーザーが別のユーザーに対して保存型クロスサイトスクリプティング攻撃を引き起こす可能性があります。
解決法
最新バージョンをインストールしてください：
- Drupal 11.3.x をご利用の場合は、Drupal 11.3.7 にアップデートしてください
- Drupal 11.3 より前のバージョンはこの脆弱性の影響を受けません
本文は Drupal.org Security Advisory 「SA-CORE-2026-003」(CC BY-SA 2.0) を翻訳したものです。
原文: https://www.drupal.org/sa-core-2026-003
