Artem Dmitriiev

**Nome do Software Vulnerável e Versões Afetadas** Drupal OpenAI Provider versões 0.0.0 a 1.1.1 Drupal OpenAI Provider versões 1.2.0 a 1.2.2 **Description** A sanitização insuficiente de URLs fornecidas pelo usuário leva a um Server-Side Request Forgery (SSRF), uma falha onde um invasor pode induzir o servidor a fazer requisições para um local não pretendido. A exploração requer que o invasor tenha permissões para modificar a URL do host e a capacidade de gerar imagens geradas por IA. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI versões 0.0.0 through 1.2.17 Drupal AI versões 1.3.0 through 1.3.8 Drupal AI versões 1.4.0 through 1.4.3 **Description** A neutralização inadequada de entrada durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo e submódulos específicos, incluindo AI Automators, AI Translate, AI API Explorer e AI Content Suggestions, permitem o uso de um Large Language Model (LLM) para gerar HTML ou Markdown para visualização no navegador. Sob certas condições, a renderização deste HTML pode levar a XSS ou à exposição de comunicações secretas no contexto da requisição do LLM. Este problema requer que um atacante seja capaz de injetar texto em prompts para executar o ataque. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI versões 0.0.0 through 1.2.17 Drupal AI versões 1.3.0 through 1.3.8 Drupal AI versões 1.4.0 through 1.4.3 **Description** Uma falha de autorização ausente permite a navegação forçada (Forceful Browsing). Certas ações do núcleo do Drupal, expostas como ferramentas de agente, não possuem a validação de acesso correta, e algumas ações do núcleo carecem de definições de nível de acesso associadas. Isso permite que um agente utilize ferramentas de ações do núcleo do Drupal ignorando os controles de acesso, desde que o invasor consiga se comunicar com o agente afetado e o site esteja configurado para expor essas ferramentas a usuários não privilegiados. **Recommendations** Atualize as versões do Drupal AI 0.0.0 through 1.2.17 para uma versão posterior a 1.2.17. Atualize as versões do Drupal AI 1.3.0 through 1.3.8 para uma versão posterior a 1.3.8. Atualize as versões do Drupal AI 1.4.0 through 1.4.3 para uma versão posterior a 1.4.3.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI Agents versões 0.0.0 a 1.1.4 Drupal AI Agents versões 1.2.0 a 1.2.5 Drupal AI Agents versões 1.3.0 a 1.3.1 **Description** A falta de autorização permite a navegação forçada (Forceful Browsing) no módulo que fornece o tipo de entidade e o tempo de execução para que os agentes utilizem ferramentas. O problema ocorre porque o módulo não verifica adequadamente as permissões necessárias quando uma ferramenta carrega entidades de conteúdo. A exploração requer que um agente esteja configurado para usar a ferramenta afetada e que o invasor tenha acesso a esse agente. **Recommendations** Atualizar as versões 0.0.0 a 1.1.4 do Drupal AI Agents para uma versão posterior a 1.1.4. Atualizar as versões 1.2.0 a 1.2.5 do Drupal AI Agents para uma versão posterior a 1.2.5. Atualizar as versões 1.3.0 a 1.3.1 do Drupal AI Agents para uma versão posterior a 1.3.1.

**Name of the Vulnerable Software and Affected Versions** Drupal AI versions 0.0.0 through 1.1.10 Drupal AI versions 1.2.0 through 1.2.11 **Description** An incorrect authorization issue exists in Drupal AI (Artificial Intelligence) that allows for resource injection. The module and certain submodules (AI Automators, AI Translate, AI API Explorer, AI Content Suggestions) allow the use of a Large Language Model (LLM) to generate HTML or Markdown, and preview it in a browser. Under specific conditions, rendering this HTML can expose secret communications related to the LLM request. **Recommendations** Update Drupal AI to version 1.1.11 or later. Update Drupal AI to version 1.2.12 or later.