drupal/canvas - SA-CONTRIB-2026-017
This module enables you to easily theme and build an entire website using only their browser, without the need to write code beyond basic JSX and CSS. Content creators are able to compose content on any part of the page without relying on developers.
The project has a hidden sub-module, Drupal Canvas AI, which is disabled by default. It is typically enabled as a dependency by Drupal Recipes or enabled directly via deployment scripts (e.g., Drush). When the submodule is enabled, the following vulnerability is exposed.
The module doesn't sufficiently sanitize user-supplied data via crafted API requests within the messages JSON payload.
It is mitigated by the fact that an attacker must have a role with the permission "use Drupal Canvas AI".
How the Canvas AI sub-module gets enabled: As a hidden submodule, canvas_ai is not intended for manual activation via the UI. It is designed to be pulled in as a dependency by Drupal Recipes or enabled directly via deployment scripts (e.g., Drush).
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de Composer | drupal/canvas | < 1.1.1 | 1.1.1 |
| Módulo de Drupal | drupal/canvas | < 1.1.1 | 1.1.1 |
Referencias
- Debilidad (CWE)
-- Plataforma
- Composer, Drupal
- Paquete
drupal/canvas- Publicada
- 25.02.2026
- Actualizado
- 11.10.2026 12:18
Fuentes y licencias
OSV / GitHub Advisory Database - DRUPAL-CONTRIB-2026-017 - CC BY-SA 2.0; code GPL-2.0-or-later
Historial de vulnerabilidades: drupal/canvas
Todas las vulnerabilidades publicadas de este paquete (Módulo de Drupal), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 4
- Primera → última
- 01.2026 07.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Sin evaluar 4
Divulgaciones por año
- 2026: 4
-
drupal/canvas - SA-CONTRIB-2026-017 esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.