Derek Wright

Uma falha de autorização incorreta permite a navegação forçada (Forceful Browsing). O módulo não restringe adequadamente o acesso a diffs de revisões de entidades que não sejam nós. Isso requer que o invasor possua uma função com permissão para visualizar a entidade.

A flaw exists in Drupal Quick Edit that allows for Cross-Site Scripting (XSS). The issue stems from insufficient sanitization of certain image-related values during the editing process. An attacker must have permission to create or edit an affected field to exploit this. The vulnerability is related to improper neutralization of input during web page generation.

O problema está relacionado à sanitização inadequada de certos nomes de arquivos em arquivos enviados, o que pode levar a que os arquivos sejam interpretados com extensão incorreta e servidos com o tipo MIME errado ou executados como PHP em determinadas configurações de hospedagem. Isso pode permitir que um invasor remoto execute código PHP arbitrário no servidor. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi especificado.

A cross-site scripting issue exists in the theme views bulk operations confirmation function within the views bulk operations.module, allowing remote attackers to inject arbitrary web script or HTML via unspecified vectors related to node titles.

The issue allows remote attackers to upload and possibly execute arbitrary files due to a lack of restriction on the extensions of attached files when the Upload module is enabled for issue nodes. Additionally, it accepts the .html extension within the bundled file-upload functionality, allowing remote attackers to upload files containing arbitrary web script or HTML.

The issue allows remote attackers to inject arbitrary web script or HTML via unspecified `parameters`. This is possible because the `check plain` function is not used.