Dan Chadwick

O submódulo Webform Entity Print não limita suficientemente o acesso aos seus modelos de impressão. Um usuário com permissões para criar e editar seus próprios formulários web pode explorar isso para realizar cross-site scripting (XSS) nas configurações do submódulo. Aproximadamente 436.400 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

O submódulo Webform Share, que permite que construtores de sites exponham webformulários para incorporação em outros sites, contém uma falha onde envios de webformulários habilitados para Ajax podem ignorar as proteções anti-spam. Isso ocorre quando o webformulário depende de proteções anti-spam compatíveis baseadas em Form-API, como Honeypot ou Antibot. Aproximadamente 436.400 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

O módulo Webform não restringe adequadamente o acesso ao editor YAML de atributos personalizados. Usuários com permissão para criar ou editar webforms, mas sem permissão para editar a fonte do webform, podem adicionar atributos personalizados. Essa falha permite a ocorrência de cross-site scripting (XSS) armazenado, uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo e servidos a outros usuários. Aproximadamente 436.300 instâncias foram identificadas globalmente.

Ocorre Cross-Site Scripting (XSS) Armazenado quando o módulo não restringe suficientemente o acesso à edição da fonte bruta do webform enquanto o módulo Webform UI está desativado. Isso permite que um usuário com permissões para criar ou editar webforms insira configurações de fonte que são renderizadas de forma insegura. XSS Armazenado é uma falha de segurança onde um script malicioso é armazenado permanentemente no servidor alvo e executado no navegador dos usuários que visualizam a página afetada.

A granularidade insuficiente do controle de acesso no módulo Webform permite a navegação forçada. O módulo não restringe suficientemente o acesso à configuração de manipuladores de Operações HTTP Remotas, o que pode permitir que um usuário com permissão para editar um webform configure uma operação HTTP remota.

Uma autorização incorreta no módulo permite a navegação forçada (forceful browsing). O módulo não verifica adequadamente as permissões de criação, visualização e atualização do webform pai ao acessar endpoints REST. Este problema requer que o invasor já possua permissões para utilizar o recurso REST.