Dave Long

A neutralização inadequada de entradas durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo não valida suficientemente as configurações de ícones fornecidas pelos usuários antes de serem renderizadas.

Existe um problema onde o módulo não sanitiza adequadamente certos atributos, levando ao cross-site scripting (XSS), uma falha que permite a invasores injetar scripts maliciosos em páginas web. Aproximadamente 15.300 instâncias foram identificadas globalmente. A exploração requer que o invasor possua uma função com permissão para inserir tags HTML contendo atributos de dados específicos ou a permissão `administer menu`.

Existe um problema no módulo Link do Drupal core, que fornece um tipo de campo para URLs internas e externas. O módulo não sanitiza adequadamente certas marcações em algumas circunstâncias, o que pode levar a vulnerabilidades de Cross-Site Scripting (XSS), uma condição em que scripts maliciosos são injetados em sites confiáveis.

Existe um problema de Reflexão Insegura onde entradas controladas externamente podem ser usadas para selecionar classes ou código, levando à Injeção de Reflexão. Esta falha permite a execução remota de código. Embora o problema não seja diretamente explorável usando o módulo isoladamente, existem múltiplos caminhos de exploração graves quando combinado com outros módulos contribuídos, incluindo pelo menos um caminho que não requer autenticação. Códigos personalizados também podem expor essa funcionalidade.

Existe um problema em que o módulo Navigation não sanitiza adequadamente certos atributos, levando ao Cross-Site Scripting (XSS), uma condição onde scripts maliciosos são injetados em sites confiáveis. A exploração requer que o invasor possua uma função com permissão para inserir tags HTML contendo atributos de dados específicos ou a permissão `administer menu`.

Um problema de execução remota de código existe no módulo Field UI (`field ui`) do Drupal core. Embora o problema não seja diretamente explorável apenas com a funcionalidade do core, existem múltiplos caminhos de exploração graves através do uso de módulos contribuídos ou código personalizado. Pelo menos um caminho de exploração conhecido permite a execução remota de código sem autenticação. Aproximadamente 151.000 sites estão potencialmente afetados devido ao uso de ramificações obsoletas do CMS. Esta falha pode ser utilizada para realizar movimentação lateral de servidores web comprometidos para a infraestrutura interna.

A neutralização inadequada de elementos especiais usados em um mecanismo de template permite a injeção de código. O módulo não mitiga suficientemente as injeções de template Twig em certas regras, tornando possível o uso de funções Twig para extrair dados confidenciais do sistema. Twig é um mecanismo de template para PHP que permite aos desenvolvedores gerar HTML combinando templates estáticos com dados dinâmicos.

Existe um problema de segurança no projeto Disable Login Page. O projeto está atualmente marcado como não suportado, e o mantenedor não forneceu uma correção para este problema.

O Drupal core contém um problema de cross-site scripting (XSS) devido à neutralização inadequada de entrada durante a geração de páginas web. O filtro XSS não sanitiza suficientemente certos atributos da biblioteca JavaScript HTMX integrada, permitindo que um invasor execute scripts maliciosos caso consiga inserir HTML com atributos específicos.

Ocorre Cross-site Scripting (XSS) Armazenado porque o módulo Layout Builder não sanitiza adequadamente os rótulos dos blocos em certos cenários. Isso permite que um invasor injete scripts maliciosos que são armazenados e posteriormente executados no navegador de outro usuário. A exploração requer que tanto o invasor quanto o usuário visado estejam utilizando a interface de edição do Layout Builder.

A modificação inadequadamente controlada de atributos de objetos determinados dinamicamente permite a Injeção de Objetos. Além disso, o submódulo Render não sanitiza adequadamente o código do template ao renderizar templates Twig inline como parte de modelos sem código, o que pode levar à divulgação de informações. Este problema é mitigado caso o site não esteja executando um modelo ECA que utilize a ação "Render: Twig" em um fluxo de dados.

Existe um problema onde o módulo não sanitiza adequadamente a marcação passada para os componentes em certos cenários, resultando em Cross-site Scripting (XSS) Armazenado. Cross-site Scripting é uma falha que permite a um invasor injetar scripts maliciosos em páginas da web visualizadas por outros usuários. A exploração requer que o invasor tenha permissões para criar ou atualizar conteúdo renderizado pelo UI Patterns.

Uma falha de autorização permite a navegação forçada (forceful browsing). O módulo, que permite testar e executar fluxos de trabalho orientados por IA através de uma interface de chat, não reavalia adequadamente as etapas de aprovação humana (human-in-the-loop) quando o fluxo de trabalho itera mais de uma vez. Isso pode resultar na execução de fluxos de trabalho não pretendidos pelo usuário. A exploração requer que o invasor possua a função "Administer FlowDrop workflows" ou permissões equivalentes, como "Create FlowDrop workflows" ou "Edit FlowDrop workflows".

Uma falha de autorização ausente permite a navegação forçada (Forceful Browsing). O módulo, que permite testar e executar fluxos de trabalho orientados por IA através de uma interface de chat, não aplica permissões adequadamente em certos endpoints. Isso pode permitir que atacantes acionem a execução de fluxos de trabalho, resultando em custos de LLM (Large Language Model) e efeitos colaterais em ferramentas, ou permitam o envio de mensagens para sessões de outros usuários. O problema é mitigado pelo fato de o atacante precisar da permissão "View any session", que não é concedida a usuários anônimos ou autenticados por padrão.

O Drupal core contém uma gadget chain, que é uma sequência de fragmentos de código existentes que podem ser aproveitados durante a desserialização de dados não confiáveis. Embora este problema não seja diretamente explorável, ele pode servir como um vetor para alcançar a execução remota de código ou injeção de SQL se uma vulnerabilidade separada permitir que um invasor passe entradas inseguras para a função `unserialize()`.

Os módulos JSON:API e REST permitem o upload de arquivos de imagem para campos de imagem. As regras de validação verificam a extensão do arquivo, mas não o tipo MIME (Multipurpose Internet Mail Extensions), que é um padrão usado para identificar a natureza e o formato de um documento. Essa falha permite que um usuário mal-intencionado faça o upload de arquivos que não sejam imagens. Dependendo da configuração do servidor web, esses arquivos podem ser servidos com seu tipo MIME real, podendo levar a cross-site scripting (XSS), onde scripts maliciosos são injetados em sites confiáveis, ou a outros comportamentos inesperados.

O módulo Media oferece suporte ao oEmbed, que utiliza dois mecanismos de descoberta: `providers.json` e descoberta via URL. O código de descoberta de URL pode ser explorado para enganar o sistema, fazendo com que ele realize requisições do lado do servidor para qualquer URL arbitrária. Trata-se de um Server-Side Request Forgery (SSRF), uma falha onde um invasor pode forçar um servidor a enviar requisições para um local não pretendido.

O controlador frontal `rebuild.php`, utilizado para limpar caches e reconstruir o container quando um site está em uma condição inesperada, não valida corretamente o cabeçalho Host em relação aos padrões de hosts confiáveis. Esta falha pode levar ao envenenamento de cache (cache poisoning), onde o cache é preenchido com uma resposta maliciosa, ou a um redirecionamento aberto, que envia usuários para um domínio controlado por um invasor.

Um invasor com permissões de escrita apropriadas no JSON:API poderia, em certas circunstâncias raras, injetar um payload malicioso, resultando em PHP Object Injection. O PHP Object Injection ocorre quando entradas não confiáveis são usadas para instanciar objetos, o que pode permitir que um invasor execute código arbitrário ou manipule a lógica da aplicação. Este problema é explorável apenas se o site utilizar um tipo de campo de referência de entidade que armazene uma propriedade serializada e tiver habilitado o acesso de escrita para o JSON:API, que é somente leitura por padrão.

Ocorre Cross-site Scripting (XSS) Armazenado porque o módulo não sanitiza adequadamente o nome dos termos de taxonomia pai ao renderizar sugestões no menu suspenso do Tagify. Isso permite que um invasor com permissões para criar ou editar termos de taxonomia em um vocabulário execute JavaScript arbitrário no contexto da sessão do usuário.