Bram Driesen

O armazenamento inseguro de informações sensíveis ocorre quando arquivos de áudio para solicitações de fala-para-texto são gravados em um único arquivo no diretório temporário e não são excluídos após o processamento. Isso permite que um invasor com acesso de leitura ao diretório temporário do site—potencialmente via hospedagem compartilhada ou outro código que exponha arquivos temporários—recupere dados de áudio enviados por outros usuários para transcrição.

Existe um problema de bypass de autenticação onde o módulo não invalida completamente uma sessão de CAPTCHA resolvida. Isso permite que um formulário protegido que já foi enviado uma vez seja enviado novamente sem a necessidade de resolver um novo desafio. Esta falha enfraquece a proteção contra envios automatizados, incluindo força bruta de login, spam de comentários e registros de spam.

Uma autorização incorreta permite a navegação forçada devido à verificação insuficiente de privilégios administrativos ao verificar o acesso a campos protegidos. Isso permite que usuários atribuídos a uma função com o nome de máquina `administrator` (desde que não esteja sinalizada como a função de administrador real do site) ignorem as restrições de acesso ao nível do campo e obtenham acesso não autorizado de visualização e edição a campos protegidos.

Este módulo fornece uma estrutura para integrar provedores e recursos de IA no Drupal. O problema ocorre porque o módulo não sanitiza adequadamente certos atributos HTMX, levando ao Cross-Site Scripting (XSS), onde scripts maliciosos podem ser injetados em páginas da web.

O armazenamento inseguro de informações sensíveis permite a recuperação de dados sensíveis incorporados. O módulo não criptografa adequadamente a senha do usuário do sistema utilizado durante a sincronização de conteúdo, o que pode permitir que usuários não privilegiados visualizem a senha. A exploração requer que o invasor tenha acesso prévio de leitura ao banco de dados ou a um dump do banco de dados da tabela de dados do usuário.

Ocorre uma Falsificação de Solicitação Cross-Site (CSRF) quando um usuário com a permissão "Use Fasttoggle" visita uma página controlada por um invasor enquanto está autenticado. O módulo não protege adequadamente sua URL de alternância, permitindo que um invasor altere o status de publicação de conteúdos arbitrários em nome do usuário autenticado.

Ocorre Cross-site Scripting (XSS) Armazenado devido à neutralização inadequada de entrada durante a geração de páginas web. O submódulo AI Automator, que permite o preenchimento automático de campos com base em outros campos, não verifica adequadamente o acesso aos formatos de texto. Isso permite que usuários criem dados de campo em formatos de texto aos quais não deveriam ter acesso.

Um problema de autorização incorreta permite a navegação forçada. O módulo não verifica adequadamente as permissões de acesso à entidade que está sendo alternada quando um usuário com a permissão "Use Fasttoggle" envia uma solicitação para a URL de alternância. Isso permite que um usuário altere o status de publicação, promoção ou fixação de qualquer nó ou comentário, independentemente de possuir as permissões necessárias para atualizar essa entidade específica, possivelmente permitindo a publicação de rascunhos não publicados que eles não têm autorização para visualizar.

Um problema de autorização incorreta permite a navegação forçada, na qual usuários sem as permissões necessárias podem acessar o formulário de atualização em massa usado para atribuir ou remover funções em várias contas de usuário. Isso é mitigado pelo fato de que um invasor deve possuir uma função com a permissão "administer users".

Um problema de autorização incorreta permite a navegação forçada. O módulo não restringe adequadamente o acesso a campos configurados como Private em tipos de entidade que não possuem um campo de autor (como uma conta de usuário ou proprietário). Consequentemente, esses campos Private podem ser visualizados e, se a entidade for editável, ela pode ser modificada por qualquer usuário que consiga visualizá-la, incluindo usuários anônimos. Este problema não afeta campos definidos como Private em nós, usuários, mídia, comentários ou outros tipos de entidade com autor, nem afeta campos que utilizam permissões personalizadas.

Uma falha de autorização ausente permite a navegação forçada e a evasão de controle de acesso. A falha decorre da proteção insuficiente de rotas e campos de entidade, permitindo que invasores não autenticados executem ações privilegiadas, manipulem pedidos e acessem dados de pagamento de clientes ou informações de identificação pessoal (PII). Este problema afeta o carrinho de compras, o checkout e a funcionalidade de API. Estima-se que mais de 42.000 implantações sejam afetadas. Existem confirmações de exploração ativa, incluindo instâncias de pedidos fraudulentos em sites reais.

Um problema de autorização incorreta permite a navegação forçada quando o Drupal Commerce é utilizado em conjunto com o módulo JSON:API. Isso permite que usuários sem as permissões adequadas acessem variações de produtos não publicados. Este problema afeta especificamente sites que mantêm produtos publicados e variações de produtos não publicados.

A neutralização inadequada de entrada durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo não restringe suficientemente a renderização de HTML, permitindo a execução de scripts maliciosos sob certas condições. Este problema é mitigado pelo fato de que um invasor deve ter acesso a um formato de texto que possa renderizar HTML.

Um problema no submódulo AI Chatbot ocorre quando a entrada do usuário não é filtrada adequadamente antes de ser renderizada em uma página web, levando ao Cross-Site Scripting (XSS). Isso ocorre sob certas configurações e exige que o invasor tenha permissões para administrar blocos.

Uma autorização incorreta no módulo AI permite a injeção de recursos. O módulo não valida links adequadamente sob certas condições, o que pode permitir a exfiltração de informações sensíveis para sites externos. Isso ocorre quando um invasor utiliza fontes não confiáveis ao interagir com o módulo de forma a produzir HTML renderizado.

A neutralização inadequada de entradas durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo não valida suficientemente links Markdown sob certas condições, o que pode levar à execução de scripts maliciosos no navegador do usuário.

Níveis de controle de acesso configurados incorretamente no submódulo AI Search permitem que o cache do navegador web contenha informações sensíveis. Embora o backend do AI Search verifique o acesso para cada resultado de pesquisa, essa verificação é ignorada quando o Search API armazena em cache os resultados de uma view. Consequentemente, usuários podem visualizar resultados de pesquisa em cache, como títulos e campos de conteúdo não publicado ou restrito, caso um usuário com permissões adequadas tenha realizado a mesma pesquisa dentro do tempo de vida do cache. Isso ocorre quando o submódulo AI Search está habilitado e uma view do Search API utiliza cache de resultados baseado em tempo, tags ou ambos.

Existe um problema no Drupal Patreon que afeta a segurança do software.

Existe uma falha de bypass de autenticação no módulo Drupal Domain Login Restrict, projetado para restringir logins de usuários em sites multi-domínio apenas aos domínios atribuídos. O módulo não aplica essas restrições adequadamente quando um usuário se autentica por um método diferente do formulário de login padrão. A exploração requer que o invasor possua uma conta de usuário válida e que a configuração "Enable restriction" esteja ativa na página de configurações do Domain. Usuários com a permissão "Login to any domain" não são afetados.

O Drupal Shield não limita adequadamente o número de tentativas de autenticação quando um visitante anônimo envia repetidamente credenciais de autenticação básica. Isso permite ataques de força bruta contra o prompt de autenticação básica HTTP usado para proteger sites não públicos de serem visualizados, rastreados ou indexados. O risco é reduzido se senhas longas e geradas aleatoriamente forem utilizadas.