Apa yang terjadi
Modul kontribusi Drupal AI (Artificial Intelligence) mengirimkan serangkaian masalah yang diperbaiki di SA-contrib-2026-266 hingga -273: beberapa XSS (CVE-2026-118545/118546/118549/118552/118553), otorisasi yang salah/injeksi sumber daya (CVE-2026-118548), dan masalah cache browser/penyimpanan tidak aman (CVE-2026-118550/118551).
Mengapa penting
Drupal AI mengekspos chat/generasi AI ke pengguna situs. Kombinasi XSS tersimpan dan otorisasi yang salah di modul memungkinkan penyerang menjalankan skrip di sesi pengguna lain dan melampaui konten yang seharusnya dibatasi, memengaruhi konten yang dihasilkan AI dan akun yang terhubung.
Vektor serangan
Beberapa kelemahan di seluruh permukaan interaksi AI modul: cross-site scripting yang direfleksikan dan tersimpan, otorisasi yang salah memungkinkan penjelajahan paksa (injeksi sumber daya), penyimpanan data sensitif di cache browser, dan penyimpanan informasi sensitif yang tidak aman di modul AI.
Sistem yang terdampak
Kontribusi Drupal AI (Artificial Intelligence) dari 0.0.0 hingga 1.4.11, dan 1.5.0 hingga 1.5.2 (diperbaiki dalam rilis SA-contrib yang sesuai).
Mitigasi
Perbarui modul kontribusi Drupal AI ke rilis yang ditambal yang dirujuk di SA-contrib-2026-266 hingga SA-contrib-2026-273; batasi siapa yang dapat mengakses konten yang dihasilkan AI dan bersihkan data AI yang di-cache.