Cathy Theys

O submódulo Webform Entity Print não limita suficientemente o acesso aos seus modelos de impressão. Um usuário com permissões para criar e editar seus próprios formulários web pode explorar isso para realizar cross-site scripting (XSS) nas configurações do submódulo. Aproximadamente 436.400 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

Uma falha de injeção de SQL não autenticada existe na API de abstração de banco de dados do Drupal Core, especificamente no manipulador de condições `EntityQuery` do PostgreSQL. O problema ocorre quando chaves de array PHP controladas pelo invasor, como `filter[...][condition][value][malicious key]`, são concatenadas diretamente em identificadores SQL sem a sanitização adequada. Esta vulnerabilidade afeta exclusivamente sites que utilizam bancos de dados PostgreSQL. Usuários anônimos remotos podem explorar isso para obter acesso total ao banco de dados, exfiltrar dados sensíveis, elevar privilégios para Administrador e, potencialmente, executar comandos de shell arbitrários no servidor host via Execução Remota de Código (RCE) se as permissões do banco de dados estiverem mal configuradas (por exemplo, permitindo `COPY FROM PROGRAM`). Foram detectadas mais de 15.000 tentativas de ataque contra aproximadamente 6.000 sites em 65 países, sendo os serviços financeiros e de jogos os alvos principais.

Existe uma falha de autorização no Drupal Acquia DAM, permitindo navegação forçada. Isso permite acesso não autorizado a recursos.

Existe uma falha de autorização no Drupal Facets, potencialmente permitindo navegação forçada. O problema relaciona-se a controles de acesso insuficientes.

An authentication bypass issue exists in Drupal Authenticator Login. This allows attackers to bypass authentication mechanisms by utilizing an alternate path or channel.

Nome do Software Vulnerável e Versões Afetadas: Drupal Authenticator Login versões 0.0.0 até 2.1.3 Descrição: Existe uma vulnerabilidade de Bypass de Autenticação Usando um Caminho ou Canal Alternativo no Drupal Authenticator Login, permitindo o Bypass de Autenticação. Recomendações: Atualize para a versão 2.1.4 ou posterior.

Nome do Software Vulnerável e Versões Afetadas: Drupal Layout Builder Advanced Permissions versões 0.0.0 a 2.1.9 Descrição: A ausência de autorização permite navegação forçada no Drupal Layout Builder Advanced Permissions. Recomendações: Atualize para a versão 2.2.0 ou superior.

Nome do Software Vulnerável e Versões Afetadas: Drupal COOKiES Consent Management versões anteriores à 1.2.16 Descrição: Existe uma vulnerabilidade de Cross-Site Scripting (XSS) no Drupal COOKiES Consent Management. Isso afeta versões que utilizam o submódulo COOKiES Video. Recomendações: Atualize para a versão 1.2.16.

O problema está relacionado à Neutralização Imprópria de Entrada na Geração de Página Web, também conhecida como Cross-site Scripting (XSS). Isso permite ataques de Cross-Site Scripting (XSS).

O problema afeta o módulo COOKiES Consent Management, permitindo Cross-Site Scripting (XSS) devido à neutralização inadequada de entrada durante a geração da página web.

O problema está relacionado à Neutralização Imprópria de Entrada Durante a Geração de Página Web, também conhecida como Cross-Site Scripting (XSS), no Drupal COOKiES Consent Management. Isso permite ataques de Cross-Site Scripting (XSS).

O problema está relacionado a uma vulnerabilidade de Falta de Autorização no Drupal Bookable Calendar, que permite Navegação Forçada.

O problema está relacionado à neutralização inadequada de entrada durante a geração de páginas web, o que permite Cross-Site Scripting (XSS). Isso significa que um atacante poderia potencialmente injetar scripts maliciosos em páginas web, afetando os usuários que visitam essas páginas.

O problema está relacionado à Neutralização Imprópria de Entrada Durante a Geração de Páginas Web, também conhecida como Cross-site Scripting (XSS). Isso permite ataques de Cross-Site Scripting (XSS).

O problema está relacionado à Neutralização Imprópria de Entrada Durante a Geração de Página Web, também conhecida como Cross-site Scripting (XSS). Isso permite que um atacante execute ataques de Cross-Site Scripting (XSS).

O problema afeta a funcionalidade de perfil privado.

O problema está relacionado à neutralização inadequada de entrada durante a geração de páginas web, também conhecido como Cross-site Scripting (XSS). Isso permite que um atacante execute ataques de Cross-Site Scripting. A vulnerabilidade está associada à falha em proteger a estrutura das páginas web.

The issue is related to a Cross-Site Request Forgery (CSRF) vulnerability in Drupal Gutenberg, which allows for Cross-Site Request Forgery. This vulnerability can be exploited by a remote attacker to perform a CSRF attack.

O problema está relacionado a uma vulnerabilidade de autorização incorreta no módulo Drupal Advanced PWA inc Push Notifications, que permite a navegação forçada. Isso significa que um invasor pode contornar as restrições de segurança e realizar ações não autorizadas. A vulnerabilidade pode ser explorada remotamente.

O problema está relacionado à inserção de informações confidenciais nos dados enviados, permitindo a navegação forçada. Isso pode permitir que um invasor remoto obtenha acesso não autorizado a informações protegidas. A vulnerabilidade está associada à proteção insuficiente dos dados do serviço.