무슨 일이 있었나
Drupal AI (인공지능) 기여 모듈은 SA-contrib-2026-266부터 -273까지 수정된 여러 문제를 포함했습니다: 다중 XSS (CVE-2026-118545/118546/118549/118552/118553), 잘못된 인증/리소스 주입 (CVE-2026-118548), 브라우저 캐시/안전하지 않은 저장 문제 (CVE-2026-118550/118551).
왜 중요한가
Drupal AI는 사이트 사용자에게 AI 채팅/생성을 노출합니다. 모듈의 저장형 XSS와 잘못된 인증 조합으로 공격자는 다른 사용자의 세션에서 스크립트를 실행하고 게이트되어야 할 콘텐츠에 과도하게 접근할 수 있으며, AI 생성 콘텐츠와 연결된 계정에 영향을 미칩니다.
공격 경로
모듈의 AI 상호작용 표면 전반에 걸친 여러 취약점: 반사형 및 저장형 교차 사이트 스크립팅, 강제 탐색(리소스 주입)을 허용하는 잘못된 인증, AI 모듈의 민감한 데이터 브라우저 캐시 저장 및 안전하지 않은 저장.
영향받는 시스템
Drupal AI (인공지능) 기여 모듈 0.0.0부터 1.4.11까지, 및 1.5.0부터 1.5.2까지 (해당 SA-contrib 릴리스에서 수정됨).
완화 방안
SA-contrib-2026-266부터 SA-contrib-2026-273에 언급된 패치 릴리스로 Drupal AI 기여 모듈을 업데이트하세요; AI 생성 콘텐츠에 접근할 수 있는 사용자를 제한하고 캐시된 AI 데이터를 삭제하세요.