CVE-2025-12848 in Webform Multiple File Upload Module
要約
〜によって VulDB • 2026年06月04日
Drupal 7.x 用の Webform Multiple File Upload モジュールには、ファイル名レンダラーにおけるクロスサイトスクリプティング（XSS）の脆弱性が存在します。認証されていない攻撃者は、ファイルタイプ検証が無効になっている Webform ノードの Multifile フィールドに対して、JavaScript コード（例：`<img src=1 onerror=alert(document.domain)>`）を含む悪意のあるファイル名でファイルをアップロードすることで、この脆弱性を悪用できます。これにより、被害者のブラウザのコンテキスト内で任意のスクリプトを実行することが可能になります。
この問題はサードパーティ製ライブラリに存在し、https://github.com/fyneworks/multifile/pull/44 で利用可能なパッチによって修正されています。ユーザーには、提供されたパッチを適用するか、修正済みバージョンのモジュールへの更新を推奨します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.