Boris Doesborg

A neutralização inadequada de entrada durante a geração de páginas web permite Cross-Site Scripting (XSS), uma condição em que scripts maliciosos são injetados em sites confiáveis. O problema ocorre porque o widget de preenchimento automático (autocomplete) não escapa adequadamente a entrada do usuário. Isso não ocorre em uma instalação padrão e requer a presença de módulos adicionais ou código personalizado.

O módulo Login Disable, que restringe o acesso ao site exigindo uma chave secreta no formulário de login, não protege suficientemente o formulário contra ataques de força bruta. Um invasor poderia potencialmente ignorar essa proteção tentando adivinhar a chave secreta, dependendo do comprimento da mesma. Este problema é parcialmente mitigado pelo fato de que o invasor ainda precisa de um nome de usuário e senha válidos para obter acesso.

A flaw exists in the Login Disable module where the access key check is bypassed when using the HTTP request login route. This allows users to log in without providing the required access key, potentially compromising site security.