Alex Bronstein

Existe um problema no submódulo Canvas AI onde arquivos de imagem carregados via uma API personalizada para uso no chat web de IA não são suficientemente validados antes de serem salvos no diretório temporário do Drupal. Essa neutralização inadequada de entrada durante a geração de páginas web pode levar ao Cross-Site Scripting (XSS), uma condição onde scripts maliciosos são injetados em sites confiáveis.

O módulo Drupal Canvas possui uma falha de autorização que permite a navegação forçada de Páginas do Canvas quando elas não estão publicadas. O módulo não valida adequadamente o acesso às Páginas do Canvas, potencialmente permitindo acesso não autorizado. Isso é mitigado pelo fato de que a moderação de conteúdo não está habilitada por padrão e o arquivamento não é um recurso do módulo.

O problema afeta o Drupal core, permitindo Cross-Site Scripting (XSS) devido à neutralização inadequada de entrada durante a geração de páginas web.

A cross-site scripting issue is present in jQuery when making Ajax requests to untrusted domains. This issue requires contributed or custom modules to be exploitable.

A cross-site scripting (XSS) issue in the Autocomplete system allows remote attackers to inject arbitrary web script or HTML via a crafted URL, related to uploading files.