Drupal แก้ 3 CVE ระดับ Critical เกี่ยวกับ XSS ในโมดูลเสริม

Drupal แก้ 3 CVE ระดับ Critical ที่เกี่ยวข้องกับ XSS ใน AI, Signature pad widget และ Stage File Proxy

ทีมความปลอดภัย Drupal เผยแพร่ประกาศช่องโหว่ cross-site scripting หรือ XSS ระดับ Critical ในโมดูลเสริมสามตัวเมื่อวันที่ 28 ตุลาคม 2026 ได้แก่ AI (Artificial Intelligence), Signature pad widget และ Stage File Proxy การจัดระดับ Critical มาจากเกณฑ์ของโครงการ Drupal และไม่ได้หมายความว่าเว็บไซต์ Drupal ทุกแห่งได้รับผลกระทบ ทั้งสามโมดูลมีหน้าที่และเงื่อนไขการโจมตีต่างกัน ผู้ดูแลควรตรวจการติดตั้งและเวอร์ชันของแต่ละตัวก่อนดำเนินการ

เวลาเปิดเผยครั้งแรก: ประกาศ AI SA-CONTRIB-2026-269 เผยแพร่วันที่ 28 ตุลาคม 2026 เวลา 17:09:41 UTC, Signature pad widget SA-CONTRIB-2026-285 เวลา 17:36:44 UTC และ Stage File Proxy SA-CONTRIB-2026-286 เวลา 17:36:56 UTC ระเบียน CVE ทั้งสามเผยแพร่ครั้งแรกวันที่ 30 ตุลาคม 2026 เวลา 03:08:39–03:08:57 UTC ตามข้อมูล datePublished ของ CVE การตรวจทั้งสองวันช่วยแยกช่องโหว่ใหม่จากกรณีที่เพียงมีการเพิ่มเลข CVE ภายหลัง

CVE-2026-118549: ลิงก์ Markdown ในบริการของ Drupal AI

โมดูล AI มีบริการที่ช่วยผู้ใช้งานโมดูลอื่นกรององค์ประกอบ XSS แต่ประกาศ Drupal ระบุว่าบริการนี้ตรวจสอบลิงก์ Markdown ภายใต้บางเงื่อนไขไม่เพียงพอ จึงอาจปล่อยเนื้อหาที่ก่อ XSS ผ่านไปได้ ขอบเขตผลกระทบขึ้นอยู่กับระบบที่นำบริการนี้ไปใช้และจุดที่แสดงผลลิงก์ ไม่ควรสรุปว่า AI provider หรือทุกคำตอบของ AI สามารถโจมตีได้โดยตรง

เวอร์ชันที่ได้รับผลกระทบคือสาย 1.4.x ก่อน 1.4.11 และสาย 1.5.x ตั้งแต่ 1.5.0 ถึงก่อน 1.5.2 Drupal ระบุว่าผู้ใช้สาย 1.3.x ควรย้ายไป 1.4.11 หรือ 1.5.2 เพราะสาย 1.3.x ไม่ได้รับการสนับสนุนแล้ว เวอร์ชันแก้ไข 1.4.11 และ 1.5.2 ออกวันที่ 28 ตุลาคม 2026 เวลา 11:04 และ 11:05 UTC ตามลำดับ ผู้ดูแลควรตรวจว่ามีการนำบริการ Markdown ของโมดูล AI ไปแสดงต่อผู้ใช้หรือผู้ดูแลที่ใด แล้วอัปเดตและทดสอบการแสดงลิงก์หลังติดตั้ง แหล่งแพตช์: https://www.drupal.org/project/ai/releases/1.4.11 และ https://www.drupal.org/project/ai/releases/1.5.2

CVE-2026-118575: ไฟล์ลายเซ็น SVG อาจมีเนื้อหาที่ไม่ปลอดภัย

Signature pad widget ให้ผู้ใช้สร้างและบันทึกลายเซ็นเป็นภาพ SVG ประกาศ Drupal ระบุว่าโมดูลกรองเนื้อหาที่ผู้ใช้ส่งเข้ามาก่อนบันทึกลง public file system ไม่เพียงพอ ในบางสถานการณ์ไฟล์ที่สร้างขึ้นอาจมีเนื้อหาที่ทำงานได้หรือไม่ปลอดภัยและนำไปสู่ XSS การโจมตีจึงเกี่ยวข้องกับความสามารถในการส่งเนื้อหาลายเซ็นและการเข้าถึงไฟล์ที่ถูกจัดเก็บ ไม่ควรขยายความเป็นการรันโค้ดบนเซิร์ฟเวอร์เพราะประกาศระบุเป็น XSS

เวอร์ชันก่อน 8.x-1.15 ได้รับผลกระทบ ผู้ใช้ Drupal 10 หรือ 11 ที่ติดตั้งโมดูลนี้ควรอัปเดตเป็น 8.x-1.15 ซึ่งหน้า release สร้างวันที่ 28 ตุลาคม 2026 เวลา 14:39 UTC ผู้ดูแลควรทดสอบการวาดและเปิดดูไฟล์ลายเซ็นหลังอัปเดต และตรวจสอบไฟล์ SVG ที่ผู้ใช้ส่งเข้ามาก่อนหน้าเมื่อมีเหตุให้สงสัยว่าถูกใช้ในทางผิด แหล่งแพตช์: https://www.drupal.org/project/sign_widget/releases/8.x-1.15

CVE-2026-118576: Stage File Proxy ตรวจ URL ในการดึงไฟล์สำรองไม่พอ

Stage File Proxy มีไว้ดึงไฟล์จากเซิร์ฟเวอร์ต้นทางเข้าสู่เซิร์ฟเวอร์พัฒนาเมื่อจำเป็น โครงการระบุชัดว่าโมดูลนี้ไม่ได้ตั้งใจให้ใช้บน production ปัญหาอยู่ที่การตรวจ file URL ระหว่าง fallback retrieval ไม่เพียงพอ จึงอาจนำไปสู่ XSS ได้ แต่ผู้โจมตีต้องพบเว็บไซต์เป้าหมายที่เปิดโมดูลนี้ และต้องสามารถอัปโหลดไฟล์อันตรายไปยังเซิร์ฟเวอร์ต้นทางที่กำหนดไว้ก่อน เงื่อนไขนี้ควรถูกตรวจจริงก่อนจัดระดับความเสี่ยงให้ระบบของตน

เวอร์ชันสาย 3.x ก่อน 3.1.7 และสาย 4.x ตั้งแต่ 4.0.0 ถึงก่อน 4.0.1 ได้รับผลกระทบ Drupal แนะนำให้อัปเดตเป็น 3.1.7 หรือ 4.0.1 ตามสายที่ใช้ หน้า release สร้างวันที่ 28 ตุลาคม 2026 เวลา 14:04 และ 14:01 UTC ตามลำดับ หากพบโมดูลนี้เปิดอยู่บน production ควรทบทวนความจำเป็นในการเปิดใช้งานทันทีนอกเหนือจากการติดตั้งแพตช์ แหล่งแพตช์: https://www.drupal.org/project/stage_file_proxy/releases/3.1.7 และ https://www.drupal.org/project/stage_file_proxy/releases/4.0.1

ขั้นตอนรับมือคือสำรวจโมดูลทั้งสามและตรวจเวอร์ชันที่ติดตั้งจริง อัปเดตตามสายเวอร์ชันที่ Drupal ระบุ ทดสอบจุดแสดงผล Markdown ไฟล์ SVG และการดึงไฟล์บนระบบพัฒนาหลังอัปเดต จากนั้นตรวจบันทึกและไฟล์ที่เกี่ยวข้องหากมีสัญญาณผิดปกติ ประกาศทั้งสามไม่ได้ระบุว่ามีการโจมตีจริงในวงกว้าง จึงไม่ควรนำกรณีใช้โจมตีของช่องโหว่อื่นมาอ้างแทน ระเบียน CVE: https://www.cve.org/CVERecord?id=CVE-2026-118549, https://www.cve.org/CVERecord?id=CVE-2026-118575 และ https://www.cve.org/CVERecord?id=CVE-2026-118576