CVE-2026-18986

中 4.8CVE-2026-18986 · DRUPAL-CONTRIB-2026-094 · 02/09/2026 公開 · 08/09/2026 更新

要点

CVE-2026-18986 は drupal/entity_browser, entity browser (entity browser project) に影響する深刻度「中」 (CVSS 4.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.24%（全脆弱性の 15.4% より高い）。
対処：2.16.0, 2.16 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
drupal/entity_browser Packagist:https://packages.drupal.org/8	`< 2.16.0`	`2.16.0`
entity browser entity_browser_project	`< 2.16`	`2.16`

概要

The Entity Browser module allows you to select entities from entity reference fields using a custom entity browser widget.

The module doesn't sufficiently sanitize the the tab titles, resulting in a stored cross-site scripting (XSS) vulnerability.

The vulnerability is mitigated by the fact an attacker must be able to insert HTML with specific attributes on a page that is displaying an entity browser.

NVD の説明

Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal Entity Browser allows Stored XSS. This issue affects Entity Browser versions: from 0.0.0 to 2.16.0.

参考情報

drupal.org/sa-contrib-2026-094 · WEB

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

要点

CVE-2026-18986 は drupal/entity_browser, entity browser (entity browser project) に影響する深刻度「中」 (CVSS 4.8) の脆弱性です。

今後30日間に悪用される確率（EPSS）：0.24%（全脆弱性の 15.4% より高い）。

対処：2.16.0, 2.16 以降に更新してください。

パッケージ

影響を受けるバージョン

修正済みバージョン

drupal/entity_browser

Packagist:https://packages.drupal.org/8

< 2.16.0

2.16.0

entity browser

entity_browser_project

< 2.16

2.16

概要

The Entity Browser module allows you to select entities from entity reference fields using a custom entity browser widget.

The module doesn't sufficiently sanitize the the tab titles, resulting in a stored cross-site scripting (XSS) vulnerability.

The vulnerability is mitigated by the fact an attacker must be able to insert HTML with specific attributes on a page that is displaying an entity browser.

NVD の説明