DrupalのSimple OAuthに認可不備―別ユーザーの権限がキャッシュ経由で混入

Drupalは2026年10月21日、Simple OAuth (OAuth2) & OpenID Connectの脆弱性CVE-2026-114542を公表しました。影響範囲は6.1.0以上6.1.3未満です。利用者が本来持たない権限を得る可能性があり、修正版6.1.3への更新を案内しています。

このモジュールは、アクセストークンを使ったDrupalへのアクセス制御などを提供します。6.1.0以降では、トークンの権限を保存するキャッシュが、同じスコープを持つ別ユーザーのトークンにも再利用される場合がありました。スコープはトークンに許可された操作の範囲で、同じ範囲でも利用者自身の権限は同一とは限りません。

攻撃者にはOAuth2トークンが必要で、先に、より強い権限を持つ利用者の同じスコープのトークンが使われていることも条件です。成立すると管理権限を含む権限を得る可能性がありますが、攻撃者だけで問題を起こせるとはされていません。DrupalのUser 1は、security.enable_super_userをfalseにした場合を除き影響しないと説明されています。

該当するモジュールを運用している管理者は、6.1.3以降への更新を確認してください。これはパスワードの推測やトークンの偽造に関する発表ではなく、認証後に参照する権限情報の扱いが原因です。公式告知には実被害の件数や悪用の確認は記載されていません。