Ahmad Khader

Uma autorização incorreta no módulo AI permite a injeção de recursos. O módulo não valida links adequadamente sob certas condições, o que pode permitir a exfiltração de informações sensíveis para sites externos. Isso ocorre quando um invasor utiliza fontes não confiáveis ao interagir com o módulo de forma a produzir HTML renderizado.

A neutralização inadequada de entrada durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo não restringe suficientemente a renderização de HTML, permitindo a execução de scripts maliciosos sob certas condições. Este problema é mitigado pelo fato de que um invasor deve ter acesso a um formato de texto que possa renderizar HTML.

Um problema no submódulo AI Chatbot ocorre quando a entrada do usuário não é filtrada adequadamente antes de ser renderizada em uma página web, levando ao Cross-Site Scripting (XSS). Isso ocorre sob certas configurações e exige que o invasor tenha permissões para administrar blocos.

Ocorre Cross-site Scripting (XSS) Armazenado devido à neutralização inadequada de entrada durante a geração de páginas web. O submódulo AI Automator, que permite o preenchimento automático de campos com base em outros campos, não verifica adequadamente o acesso aos formatos de texto. Isso permite que usuários criem dados de campo em formatos de texto aos quais não deveriam ter acesso.

A neutralização inadequada de entradas durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo não valida suficientemente links Markdown sob certas condições, o que pode levar à execução de scripts maliciosos no navegador do usuário.

Este módulo fornece uma estrutura para integrar provedores e recursos de IA no Drupal. O problema ocorre porque o módulo não sanitiza adequadamente certos atributos HTMX, levando ao Cross-Site Scripting (XSS), onde scripts maliciosos podem ser injetados em páginas da web.

Um problema de autorização incorreta permite a navegação forçada no módulo AI File to Text, que extrai texto de documentos como Word, PDF, OpenDocument, CSV, Markdown e arquivos de texto simples para agentes de IA. O módulo não verifica adequadamente se o usuário atual tem permissão para visualizar um arquivo antes de extrair seu conteúdo, podendo expor arquivos do sistema de arquivos privado que o usuário não teria permissão para baixar. A exploração requer que o invasor possua uma função com permissões para invocar ferramentas de IA, como por meio de um agente ou do AI API Explorer.