Drupal向け「OAuth」サーバモジュールに認可バイパスの脆弱性

「OAuth」の認証機能を提供するDrupal向けモジュール「Simple OAuth（OAuth2） & OpenID Connect」に脆弱性が明らかとなった。

現地時間2025年10月29日にセキュリティアドバイザリを公開し、脆弱性「CVE-2025-12466」について明らかにした。

「OAuth 2.0」の認可サーバとなる同モジュールで認可するスコープの検証に不備があり、ロールベースの要件を正しく適用せず、認可をバイパスされるおそれがある。

脆弱性の悪用にあたっては、侵害対象のユーザーと同じロール権限を保つ必要がある。開発チームでは、重要度を5段階中、上から2番目にあたる「クリティカル（Critical）」とレーティングした。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）による共通脆弱性評価システム「CVSSv3.1」のベーススコアは「7.5」、重要度は「高（High）」とレーティングされている。

同脆弱性は「同6.0.7」にて解消されており、アップデートが呼びかけられている。

（Security NEXT - 2025/11/11 ）ツイート