Brian Osborne

Este módulo implementa um verificador de acessibilidade do lado do cliente que relata automaticamente os resultados para visualizações de painel via uma API. Existe um problema de escalonamento de privilégios porque uma permissão foi incorretamente descrita como uma permissão de visualização, enquanto na verdade concede acesso de edição e exclusão aos dados do módulo, resultando em um potencial bypass de acesso.

Existe um problema onde uma permissão que permite aos usuários configurar modelos de e-mail contendo código Twig (um mecanismo de modelos para páginas web) não foi marcada como restrita. Se um administrador do site conceder essa permissão a usuários menos confiáveis, esses usuários poderão executar código Twig em modelos de e-mail para escalar privilégios e acessar funcionalidades ou informações destinadas apenas a administradores altamente confiáveis.

Existe uma falha de bypass de autenticação porque o módulo não invalida os caches relevantes quando as restrições de acesso à página de login são ativadas. Isso permite que respostas anteriormente armazenadas em cache para o endpoint `/user/login` permaneçam acessíveis, permitindo que um invasor ignore a funcionalidade destinada a restringir o acesso à página de login.

Existe um problema de segurança no projeto Disable Login Page. O projeto está atualmente marcado como não suportado, e o mantenedor não forneceu uma correção para este problema.