事件经过
Drupal AI（人工智能）贡献模块发布了一批问题，已在SA-contrib-2026-266至-273中修复：多个XSS（CVE-2026-118545/118546/118549/118552/118553）、不正确的授权/资源注入（CVE-2026-118548），以及浏览器缓存/不安全存储问题（CVE-2026-118550/118551）。
影响分析
Drupal AI向站点用户提供AI聊天/生成功能。模块中存储型XSS和不正确授权的组合，允许攻击者在其他用户会话中执行脚本，并越权访问本应受限的内容，影响AI生成内容及任何关联账户。
攻击途径
模块的AI交互界面存在多个弱点：反射型和存储型跨站脚本、不正确的授权（导致强行浏览/资源注入）、浏览器缓存敏感数据以及AI模块中敏感信息的不安全存储。
受影响系统
Drupal AI（人工智能）贡献模块版本从0.0.0到1.4.11，以及1.5.0到1.5.2（在相应的SA-contrib版本中已修复）。
缓解措施
将Drupal AI贡献模块更新至SA-contrib-2026-266至SA-contrib-2026-273中引用的修补版本；限制谁可以访问AI生成内容，并清除缓存的AI数据。