drupal/ga4_google_analytics - SA-CONTRIB-2026-024
The Google Analytics GA4 module enables users to add custom attributes to the script tag used to load the Google Analytics library. The module does not sufficiently sanitize these attributes.
This vulnerability is mitigated by the fact that an attacker must have a role with the "ga4 configure" (or "administer google analytics ga4 settings") permission.
An attacker with this permission could inject malicious JavaScript via event handlers (such as onload) or override the script source, leading to a Cross-Site Scripting (XSS) attack on all pages where the GA4 script is loaded.
Note: this advisory initially suggested it was fixed in the 1.1.13 release, but the 1.1.13 releaes was missing the fix. Users of this module should switch to the 1.1.14 release.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Composer-Paket | drupal/ga4_google_analytics | < 1.1.14 | 1.1.14 |
| Drupal-Modul | drupal/ga4_google_analytics | < 1.1.14 | 1.1.14 |
Verweise
- Schwäche (CWE)
-- Plattform
- Composer, Drupal
- Paket
drupal/ga4_google_analytics- Veröffentlicht
- 04.03.2026
- Aktualisiert
- 11.10.2026 12:18
Quellen und Lizenzen
OSV / GitHub Advisory Database - DRUPAL-CONTRIB-2026-024 - CC BY-SA 2.0; code GPL-2.0-or-later
Schwachstellenhistorie: drupal/ga4_google_analytics
Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
Dies ist die einzige bekannte Schwachstelle dieses Pakets.
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.