Bjã¶Rn Brala

**Nome do Software Vulnerável e Versões Afetadas** Drupal core (versões afetadas não especificadas) **Description** Um invasor com permissões de escrita apropriadas no JSON:API poderia, em certas circunstâncias raras, injetar um payload malicioso, resultando em PHP Object Injection. O PHP Object Injection ocorre quando entradas não confiáveis são usadas para instanciar objetos, o que pode permitir que um invasor execute código arbitrário ou manipule a lógica da aplicação. Este problema é explorável apenas se o site utilizar um tipo de campo de referência de entidade que armazene uma propriedade serializada e tiver habilitado o acesso de escrita para o JSON:API, que é somente leitura por padrão. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal core (versões afetadas não especificadas) **Descrição** Os módulos JSON:API e REST permitem o upload de arquivos de imagem para campos de imagem. As regras de validação verificam a extensão do arquivo, mas não o tipo MIME (Multipurpose Internet Mail Extensions), que é um padrão usado para identificar a natureza e o formato de um documento. Essa falha permite que um usuário mal-intencionado faça o upload de arquivos que não sejam imagens. Dependendo da configuração do servidor web, esses arquivos podem ser servidos com seu tipo MIME real, podendo levar a cross-site scripting (XSS), onde scripts maliciosos são injetados em sites confiáveis, ou a outros comportamentos inesperados. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.