Damien Mckenna

Existe um problema de bypass de autenticação onde o módulo não invalida completamente uma sessão de CAPTCHA resolvida. Isso permite que um formulário protegido que já foi enviado uma vez seja enviado novamente sem a necessidade de resolver um novo desafio. Esta falha enfraquece a proteção contra envios automatizados, incluindo força bruta de login, spam de comentários e registros de spam.

Uma falha de autorização ausente permite a navegação forçada e a evasão de controle de acesso. A falha decorre da proteção insuficiente de rotas e campos de entidade, permitindo que invasores não autenticados executem ações privilegiadas, manipulem pedidos e acessem dados de pagamento de clientes ou informações de identificação pessoal (PII). Este problema afeta o carrinho de compras, o checkout e a funcionalidade de API. Estima-se que mais de 42.000 implantações sejam afetadas. Existem confirmações de exploração ativa, incluindo instâncias de pedidos fraudulentos em sites reais.

O armazenamento inseguro de informações sensíveis permite a recuperação de dados sensíveis incorporados. O módulo não criptografa adequadamente a senha do usuário do sistema utilizado durante a sincronização de conteúdo, o que pode permitir que usuários não privilegiados visualizem a senha. A exploração requer que o invasor tenha acesso prévio de leitura ao banco de dados ou a um dump do banco de dados da tabela de dados do usuário.

Níveis de segurança de controle de acesso configurados incorretamente permitem que as permissões de um token sejam armazenadas em cache de forma que possam ser reutilizadas para o token de outro usuário com os mesmos escopos. Isso pode permitir que um usuário obtenha permissões não autorizadas, incluindo acesso administrativo. A exploração requer que o token de um usuário com mais privilégios e os mesmos escopos seja utilizado primeiro.

Existe um problema de Reflexão Insegura onde entradas controladas externamente podem ser usadas para selecionar classes ou código, levando à Injeção de Reflexão. Esta falha permite a execução remota de código. Embora o problema não seja diretamente explorável usando o módulo isoladamente, existem múltiplos caminhos de exploração graves quando combinado com outros módulos contribuídos, incluindo pelo menos um caminho que não requer autenticação. Códigos personalizados também podem expor essa funcionalidade.

Existe um problema onde o módulo não sanitiza adequadamente certos atributos, levando ao cross-site scripting (XSS), uma falha que permite a invasores injetar scripts maliciosos em páginas web. Aproximadamente 15.300 instâncias foram identificadas globalmente. A exploração requer que o invasor possua uma função com permissão para inserir tags HTML contendo atributos de dados específicos ou a permissão `administer menu`.

Uma verificação inadequada de condições incomuns ou excepcionais permite a navegação forçada. O problema ocorre quando o módulo está no modo de Permissão e um nó que referencia um termo de taxonomia excluído é acessado via JSON:API. Isso requer uma configuração específica do módulo e a presença de referências a um termo excluído para ser explorado.

A neutralização inadequada de entrada durante a geração de páginas web permite Cross-Site Scripting (XSS), uma condição em que scripts maliciosos são injetados em sites confiáveis. O problema ocorre porque o widget de preenchimento automático (autocomplete) não escapa adequadamente a entrada do usuário. Isso não ocorre em uma instalação padrão e requer a presença de módulos adicionais ou código personalizado.

O módulo Webform não valida adequadamente um valor de consulta de token opcional. Em configurações específicas onde um formulário é renderizado para visitantes anônimos, uma requisição maliciosa pode causar o consumo significativo de recursos, levando a uma Negação de Serviço (Denial of Service). Aproximadamente 436.400 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

A validação insuficiente de um elemento de upload de arquivo gerenciado durante o processamento de novas submissões permite que um usuário com acesso de submissão possa, potencialmente, acessar outros arquivos gerenciados para os quais não possui autorização. Este problema ocorre quando um site é configurado com um Webform contendo um elemento de upload de arquivo gerenciado e uma configuração que expõe arquivos enviados, como permitir que usuários visualizem suas próprias submissões ou o envio de uploads como anexos de e-mail. Aproximadamente 436.400 instâncias foram identificadas globalmente.

Quando o módulo Webform é utilizado com o JSON:API habilitado, as submissões podem ser armazenadas em cache sem a variação correta por usuário autenticado. Isso ocorre quando um formulário web é configurado para permitir que usuários autenticados visualizem suas próprias submissões, podendo fazer com que uma requisição ao endpoint de coleção de submissões do JSON:API retorne uma resposta em cache gerada para um usuário diferente. Consequentemente, um usuário autenticado pode visualizar dados de submissão de outro usuário. Aproximadamente 436.300 instâncias de Drupal foram identificadas globalmente como potencialmente expostas. Este problema requer que o JSON:API esteja habilitado, que o formulário web afetado exponha submissões através do JSON:API e que o atacante possua uma conta com permissões para visualizar suas próprias submissões.

Um problema de autorização incorreta no submódulo Webform Submission Export/Import permite a ocorrência de Server Side Request Forgery (SSRF), uma condição na qual um invasor pode induzir o servidor a fazer requisições para um local não pretendido. O submódulo não valida adequadamente o acesso às funcionalidades de exportação e importação. Consequentemente, um usuário com permissões para editar envios de webforms e acessar resultados de webforms pode acessar a interface de importação, incluindo o caminho de importação de URL remota.

Ocorre Cross-Site Scripting (XSS) Armazenado quando o módulo não restringe suficientemente o acesso à edição da fonte bruta do webform enquanto o módulo Webform UI está desativado. Isso permite que um usuário com permissões para criar ou editar webforms insira configurações de fonte que são renderizadas de forma insegura. XSS Armazenado é uma falha de segurança onde um script malicioso é armazenado permanentemente no servidor alvo e executado no navegador dos usuários que visualizam a página afetada.

O Cross-Site Request Forgery (CSRF) ocorre quando o módulo não valida adequadamente certas solicitações. Isso permite que um invasor engane um usuário autenticado para realizar ações não pretendidas. CSRF é uma falha na qual um site malicioso faz com que o navegador web do usuário execute uma ação indesejada em um site diferente onde o usuário está autenticado no momento.

O submódulo Webform Share, que permite que construtores de sites exponham webformulários para incorporação em outros sites, contém uma falha onde envios de webformulários habilitados para Ajax podem ignorar as proteções anti-spam. Isso ocorre quando o webformulário depende de proteções anti-spam compatíveis baseadas em Form-API, como Honeypot ou Antibot. Aproximadamente 436.400 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

O módulo Webform não restringe adequadamente o acesso ao editor YAML de atributos personalizados. Usuários com permissão para criar ou editar webforms, mas sem permissão para editar a fonte do webform, podem adicionar atributos personalizados. Essa falha permite a ocorrência de cross-site scripting (XSS) armazenado, uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo e servidos a outros usuários. Aproximadamente 436.300 instâncias foram identificadas globalmente.

Existe um problema de autorização incorreta no módulo utilizado para restringir o acesso às rotas JSON:API com base em funções de usuário. O módulo não aplica controles de acesso suficientes quando uma requisição simula um XMLHttpRequest (um objeto de navegador usado para interagir com páginas sem recarregá-las), permitindo a navegação forçada.

Um problema de autorização incorreta permite a navegação forçada. O módulo, que gerencia permissões por tipo de conteúdo de nó para controlar o acesso a conteúdo não publicado, permite incorretamente o acesso de visualização para conteúdo publicado, substituindo outros mecanismos de acesso existentes.

Restrições de acesso insuficientes no formulário de exclusão permitem a navegação forçada (forceful browsing), que ocorre quando um usuário acessa uma página ou recurso sem a autorização adequada. Este problema permite que usuários não autorizados excluam envios de formulários web em massa usando um intervalo de datas especificado.

Uma falha de autorização permite a navegação forçada ao visualizar imagens usando o formatador de exibição da galeria de imagens photoswipe. O módulo não verifica adequadamente as permissões de acesso, o que pode permitir que usuários não autorizados visualizem imagens que deveriam estar restritas.