Dezső Biczó

O problema está relacionado a uma vulnerabilidade de Autorização Ausente no Drupal Single Content Sync, que permite o uso indevido de funcionalidades.

O problema afeta a funcionalidade de perfil privado.

O problema está relacionado ao middleware de cookies no Guzzle, um cliente HTTP em PHP. Ele não verifica se o domínio do cookie é igual ao domínio do servidor que define o cookie por meio do cabeçalho Set-Cookie, permitindo que um servidor malicioso defina cookies para domínios não relacionados. Isso afeta usuários que adicionam manualmente o middleware de cookies à pilha de manipuladores ou constroem o cliente com `[‘cookies’ => true]`. Usuários que não utilizam o mesmo cliente Guzzle para acessar vários domínios e que desativaram o redirecionamento não são afetados.

The form API in Drupal core has a vulnerability that affects certain contributed or custom modules' forms, making them susceptible to improper input validation. This could allow an attacker to inject disallowed values or overwrite data, potentially altering critical or sensitive data in uncommon but certain cases.