Anna Kalata

Uma autorização incorreta no módulo permite a navegação forçada (forceful browsing). O módulo não verifica adequadamente as permissões de criação, visualização e atualização do webform pai ao acessar endpoints REST. Este problema requer que o invasor já possua permissões para utilizar o recurso REST.

Um invasor com permissões de escrita apropriadas no JSON:API poderia, em certas circunstâncias raras, injetar um payload malicioso, resultando em PHP Object Injection. O PHP Object Injection ocorre quando entradas não confiáveis são usadas para instanciar objetos, o que pode permitir que um invasor execute código arbitrário ou manipule a lógica da aplicação. Este problema é explorável apenas se o site utilizar um tipo de campo de referência de entidade que armazene uma propriedade serializada e tiver habilitado o acesso de escrita para o JSON:API, que é somente leitura por padrão.

O Drupal core contém uma gadget chain, que é uma sequência de fragmentos de código existentes que podem ser aproveitados durante a desserialização de dados não confiáveis. Embora este problema não seja diretamente explorável, ele pode servir como um vetor para alcançar a execução remota de código ou injeção de SQL se uma vulnerabilidade separada permitir que um invasor passe entradas inseguras para a função `unserialize()`.

Uma falha de injeção de SQL não autenticada existe na API de abstração de banco de dados do Drupal Core, especificamente no manipulador de condições `EntityQuery` do PostgreSQL. O problema ocorre quando chaves de array PHP controladas pelo invasor, como `filter[...][condition][value][malicious key]`, são concatenadas diretamente em identificadores SQL sem a sanitização adequada. Esta vulnerabilidade afeta exclusivamente sites que utilizam bancos de dados PostgreSQL. Usuários anônimos remotos podem explorar isso para obter acesso total ao banco de dados, exfiltrar dados sensíveis, elevar privilégios para Administrador e, potencialmente, executar comandos de shell arbitrários no servidor host via Execução Remota de Código (RCE) se as permissões do banco de dados estiverem mal configuradas (por exemplo, permitindo `COPY FROM PROGRAM`). Foram detectadas mais de 15.000 tentativas de ataque contra aproximadamente 6.000 sites em 65 países, sendo os serviços financeiros e de jogos os alvos principais.

A integração do jQuery do Drupal core para caixas de diálogo modal AJAX não sanitiza adequadamente certas opções, o que pode levar a uma vulnerabilidade de cross-site scripting (XSS), uma falha onde scripts maliciosos são injetados em sites confiáveis.

O núcleo do Drupal contém uma modificação inadequadamente controlada de atributos de objeto determinados dinamicamente, resultando em Injeção de Objetos. Isso permite a potencial manipulação de objetos dentro do sistema.

Nome do Software Vulnerável e Versões Afetadas: Drupal Layout Builder Advanced Permissions versões 0.0.0 a 2.1.9 Descrição: A ausência de autorização permite navegação forçada no Drupal Layout Builder Advanced Permissions. Recomendações: Atualize para a versão 2.2.0 ou superior.