Benji Fisher

Níveis de segurança de controle de acesso configurados incorretamente permitem que as permissões de um token sejam armazenadas em cache de forma que possam ser reutilizadas para o token de outro usuário com os mesmos escopos. Isso pode permitir que um usuário obtenha permissões não autorizadas, incluindo acesso administrativo. A exploração requer que o token de um usuário com mais privilégios e os mesmos escopos seja utilizado primeiro.

Existe um problema no módulo Link do Drupal core, que fornece um tipo de campo para URLs internas e externas. O módulo não sanitiza adequadamente certas marcações em algumas circunstâncias, o que pode levar a vulnerabilidades de Cross-Site Scripting (XSS), uma condição em que scripts maliciosos são injetados em sites confiáveis.

Existe um problema em que o módulo Navigation não sanitiza adequadamente certos atributos, levando ao Cross-Site Scripting (XSS), uma condição onde scripts maliciosos são injetados em sites confiáveis. A exploração requer que o invasor possua uma função com permissão para inserir tags HTML contendo atributos de dados específicos ou a permissão `administer menu`.

Um problema de autorização incorreta permite a navegação forçada (Forceful Browsing). O módulo não valida adequadamente os resultados das transações ao utilizar o gateway de pagamento Payflow Link, permitindo que um usuário mal-intencionado marque transações como concluídas sem realizar o pagamento.

Uma falha de autorização no módulo Image permite a navegação forçada (Forceful Browsing), resultando na divulgação de informações. O módulo não verifica adequadamente o acesso aos derivados de estilo de imagem quando esses arquivos são servidos via um fluxo de arquivo diferente de `private://`. Este problema ocorre quando o Drupal está configurado para usar um esquema de arquivo contribuído para servir imagens derivadas privadas.

A modificação inadequadamente controlada de atributos de objeto determinados dinamicamente no módulo Tealium iQ Tag Management permite a Injeção de Objetos. Isso ocorre porque o campo `tealiumiq` armazena dados como strings serializadas em PHP; se dados maliciosos forem gravados nesse campo, eles podem ser executados quando os dados forem desserializados. A exploração requer que o invasor tenha permissões para editar uma entidade de conteúdo com um campo `tealiumiq` anexado. Além disso, o módulo core `jsonapi` deve estar habilitado com a opção "Accept all JSON:API create, read, update, and delete operations", ou o invasor deve ter outro método para editar os valores dos campos diretamente.

Um invasor com permissões de escrita apropriadas no JSON:API poderia, em certas circunstâncias raras, injetar um payload malicioso, resultando em PHP Object Injection. O PHP Object Injection ocorre quando entradas não confiáveis são usadas para instanciar objetos, o que pode permitir que um invasor execute código arbitrário ou manipule a lógica da aplicação. Este problema é explorável apenas se o site utilizar um tipo de campo de referência de entidade que armazene uma propriedade serializada e tiver habilitado o acesso de escrita para o JSON:API, que é somente leitura por padrão.

Um problema de Injeção de Objeto existe no módulo Flag attendance field devido ao controle inadequado da modificação de atributos de objeto determinados dinamicamente. O módulo armazena dados como strings serializadas em PHP e, se dados maliciosos forem gravados diretamente no campo, isso pode levar à injeção de objeto durante o processo de desserialização. Isso ocorre quando um invasor tem permissão para editar uma entidade de conteúdo com um campo `flag attendance field` anexado e o módulo core JSON:API está habilitado com a opção de aceitar todas as operações de criação, leitura, atualização e exclusão, ou se o invasor possui outro método para editar os valores dos campos diretamente.

O módulo Media oferece suporte ao oEmbed, que utiliza dois mecanismos de descoberta: `providers.json` e descoberta via URL. O código de descoberta de URL pode ser explorado para enganar o sistema, fazendo com que ele realize requisições do lado do servidor para qualquer URL arbitrária. Trata-se de um Server-Side Request Forgery (SSRF), uma falha onde um invasor pode forçar um servidor a enviar requisições para um local não pretendido.

O Drupal core contém uma gadget chain, que é uma sequência de fragmentos de código existentes que podem ser aproveitados durante a desserialização de dados não confiáveis. Embora este problema não seja diretamente explorável, ele pode servir como um vetor para alcançar a execução remota de código ou injeção de SQL se uma vulnerabilidade separada permitir que um invasor passe entradas inseguras para a função `unserialize()`.

A modificação inadequadamente controlada de atributos de objeto determinados dinamicamente no módulo Formatter Field permite a Injeção de Objetos. Isso ocorre porque o módulo armazena dados como strings serializadas em PHP e, se dados maliciosos forem gravados diretamente no campo, a vulnerabilidade pode ser acionada durante o processo de desserialização. A exploração requer que o invasor tenha permissão para editar uma entidade de conteúdo com um campo `formatter field` anexado. Além disso, o módulo core JSON:API deve estar habilitado com a opção "Accept all JSON:API create, read, update, and delete operations", ou o invasor deve possuir outro método para editar os valores dos campos diretamente.

Uma falha de injeção de SQL não autenticada existe na API de abstração de banco de dados do Drupal Core, especificamente no manipulador de condições `EntityQuery` do PostgreSQL. O problema ocorre quando chaves de array PHP controladas pelo invasor, como `filter[...][condition][value][malicious key]`, são concatenadas diretamente em identificadores SQL sem a sanitização adequada. Esta vulnerabilidade afeta exclusivamente sites que utilizam bancos de dados PostgreSQL. Usuários anônimos remotos podem explorar isso para obter acesso total ao banco de dados, exfiltrar dados sensíveis, elevar privilégios para Administrador e, potencialmente, executar comandos de shell arbitrários no servidor host via Execução Remota de Código (RCE) se as permissões do banco de dados estiverem mal configuradas (por exemplo, permitindo `COPY FROM PROGRAM`). Foram detectadas mais de 15.000 tentativas de ataque contra aproximadamente 6.000 sites em 65 países, sendo os serviços financeiros e de jogos os alvos principais.

A integração do jQuery do Drupal core para caixas de diálogo modal AJAX não sanitiza adequadamente certas opções, o que pode levar a uma vulnerabilidade de cross-site scripting (XSS), uma falha onde scripts maliciosos são injetados em sites confiáveis.

O Drupal core permite a Injeção de Objetos devido à modificação inadequadamente controlada de atributos de objetos determinados dinamicamente. Este problema envolve uma "gadget chain" (uma sequência de fragmentos de código existentes) que pode ser utilizada para alcançar a execução remota de código ou injeção de SQL se a aplicação desserializar dados não confiáveis através da função `unserialize()` devido a outra vulnerabilidade. Este problema não é explorável diretamente por si só.

Existe uma falha no núcleo do Drupal relacionada ao uso de um cache do navegador web que pode conter informações sensíveis. Isso ocorre devido a níveis de segurança de controle de acesso configurados incorretamente.

Existe uma falha no núcleo do Drupal que permite a falsificação de conteúdo por meio de uma representação incorreta de informações críticas na interface do usuário. Este problema afeta a exibição de conteúdo dentro da aplicação.

Existe uma falha no Drupal Protected Pages que permite tentativas de autenticação excessivas, podendo levar a ataques de força bruta. Este problema afeta o módulo Protected Pages.

Existe uma falha de autorização no Drupal Facets, potencialmente permitindo navegação forçada. O problema relaciona-se a controles de acesso insuficientes.

Nome do Software Vulnerável e Versões Afetadas: ECA: Event - Condition - Action versões 0.0.0 até 1.1.12 ECA: Event - Condition - Action versões 2.0.0 até 2.0.16 ECA: Event - Condition - Action versões 2.1.0 até 2.1.7 Descrição: Uma vulnerabilidade de Falsificação de Solicitação Entre Sites (CSRF) afeta o módulo ECA: Event - Condition - Action, permitindo que ações não autorizadas sejam realizadas. Recomendações: Para versões 0.0.0 até 1.1.12, atualize para a versão 1.1.12 ou posterior. Para versões 2.0.0 até 2.0.16, atualize para a versão 2.0.16 ou posterior. Para versões 2.1.0 até 2.1.7, atualize para a versão 2.1.7 ou posterior.

The issue affects the RapiDoc OAS Field Formatter, allowing Cross-Site Scripting (XSS) due to improper neutralization of input during web page generation.