何が起きたか
Drupal AI（人工知能）貢献モジュールには、SA-contrib-2026-266から-273で修正された一連の問題が同梱されていた：複数のXSS（CVE-2026-118545/118546/118549/118552/118553）、不正確な認可/リソースインジェクション（CVE-2026-118548）、ブラウザキャッシュ/安全でないストレージの問題（CVE-2026-118550/118551）。
なぜ重要か
Drupal AIはサイトユーザーにAIチャット/生成を公開する。モジュール内の保存型XSSと不正確な認可の組み合わせにより、攻撃者は他のユーザーのセッションでスクリプトを実行し、ゲートされるはずのコンテンツに過剰にアクセスでき、AI生成コンテンツと接続されたアカウントに影響を与える。
攻撃経路
モジュールのAIインタラクションサーフェス全体にわたる複数の弱点：反射型および保存型クロスサイトスクリプティング、強制ブラウジング（リソースインジェクション）を可能にする不正確な認可、機密データのブラウザキャッシュストレージ、およびAIモジュールでの機密情報の安全でないストレージ。
影響を受けるシステム
Drupal AI（人工知能）貢献 0.0.0から1.4.11まで、および1.5.0から1.5.2まで（対応するSA-contribリリースで修正済み）。
緩和策
Drupal AI貢献モジュールをSA-contrib-2026-266からSA-contrib-2026-273で参照されるパッチ済みリリースにアップデートし、AI生成コンテンツにアクセスできるユーザーを制限し、キャッシュされたAIデータをクリアしてください。