Drew Webber

**Nome do Software Vulnerável e Versões Afetadas** Drupal Blazy versões 0.0.0 a 3.0.18 **Description** Um problema de autorização incorreta permite a navegação forçada (Forceful Browsing). O módulo permite que usuários exibam um campo de uma entidade de destino por meio de um shortcode do plugin Blazy Filter. Como o módulo não verifica consistentemente o acesso de visualização da entidade, um usuário com acesso a um formato de texto habilitado para Blazy pode renderizar um campo de uma entidade que não tem permissão para visualizar. Isso se limita aos campos que o shortcode é capaz de renderizar. **Recommendations** Atualize o Drupal Blazy para uma versão posterior à 3.0.18.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Slick Carousel versões 0.0.0 a 2.1.0 **Description** A neutralização inadequada de entrada durante a geração de páginas web no sub-módulo Slick UI permite Cross-site Scripting (XSS) Armazenado. O problema ocorre porque o módulo não valida suficientemente a entrada do usuário em conjuntos de opções Slick que contenham HTML para botões de carrossel. **Recommendations** Atualize o Drupal Slick Carousel para a versão 8.x-2.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** O nome do produto não pôde ser determinado (versões afetadas não especificadas) **Descrição** Dois problemas distintos foram identificados. Primeiro, um módulo projetado para restringir o acesso ao endpoint `/user/login` por meio de uma chave secreta não invalida os caches relevantes ao ser ativado. Isso permite que atacantes acessem a página de login por meio de respostas em cache. Segundo, um módulo que expõe dados estruturados via endpoints JSON não verifica suficientemente as permissões de acesso. Isso permite que usuários anônimos recuperem valores de campos de entidades que não têm autorização para visualizar, como conteúdo não publicado. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Link content parser (versões afetadas não especificadas) **Descrição** Existe um problema de segurança no Drupal Link content parser. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

The Element Pack Addons for Elementor plugin for WordPress is vulnerable to Email Header Injection in all versions up to, and including, 8.3.15 via the `element pack contact form` AJAX action. This is due to insufficient sanitization of newline characters in user-supplied input that gets concatenated into email headers. This makes it possible for unauthenticated attackers to inject arbitrary email headers into emails sent by the contact form.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Entity Browser versões 0.0.0 a 2.16.0 **Description** Ocorre cross-site scripting (XSS) armazenado porque o módulo não sanitiza adequadamente os títulos das abas. Isso permite que um invasor insira HTML com atributos específicos em uma página que exibe um navegador de entidades. Cross-site scripting é uma falha onde scripts maliciosos são injetados em sites confiáveis. **Recommendations** Atualize o Drupal Entity Browser para uma versão posterior à 2.16.0.

**Nome do Software Vulnerável e Versões Afetadas** Edit in-place field versões 0.0.0 a 2.1.1 **Descrição** Um problema de autorização incorreta permite a navegação forçada ao editar entidades. O módulo não verifica adequadamente os direitos de acesso, permitindo que um usuário mal-intencionado crie requisições para modificar qualquer campo em qualquer entidade. Este problema é mitigado caso o invasor não possua a permissão de função "edit in place field editing permission". **Recomendações** Atualize o Edit in-place field para uma versão posterior à 2.1.1.

**Nome do Software Vulnerável e Versões Afetadas** WooCommerce PayPal Payments versões anteriores a 3.3.3 **Description** Uma Referência Direta a Objeto Insegura (IDOR) existe na função `enqueue paypal insights script on order received()` devido à falta de validação em uma chave controlada pelo usuário. Isso permite que atacantes não autenticados obtenham informações confidenciais do pedido, como chaves de pedido. Essas chaves podem ser usadas para acessar detalhes completos de faturamento do cliente, incluindo nome, e-mail, telefone e endereço, através da WooCommerce Store API dentro de um período de carência de 10 minutos após a criação do pedido. **Recommendations** Atualize para uma versão posterior à 3.3.2.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Media Folders versões 0.0.0 a 1.0.8 **Description** Ocorre cross-site scripting (XSS) armazenado porque o módulo não sanitiza adequadamente os nomes e descrições de itens de mídia e pastas quando são exibidos no navegador de mídia. Isso permite que um invasor com permissões para criar ou editar itens de mídia ou pastas injete scripts maliciosos. Cross-site scripting é uma técnica onde scripts maliciosos são injetados em sites confiáveis. **Recommendations** Atualize o Drupal Media Folders para uma versão posterior à 1.0.8.

**Nome do Software Vulnerável e Versões Afetadas** Search API Autocomplete versões 0.0.0 a 1.12.0 **Description** A neutralização inadequada de entrada durante a geração de páginas web permite Cross-site Scripting (XSS) Refletido, uma falha onde scripts maliciosos são injetados em uma página web e refletidos de volta para o usuário. O problema reside em um script de teste acessível a usuários anônimos que não valida suficientemente a entrada do usuário. Isso é parcialmente mitigado se o servidor web estiver configurado para ocultar mensagens de aviso dos usuários. **Recommendations** Atualize o Search API Autocomplete para uma versão posterior à 1.12.0. Como medida de mitigação temporária, configure o servidor web para desativar a exibição de mensagens de aviso para os usuários.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Internationalization Single Sign-On versões 0.0.0 a 1.8.0 **Description** Existe uma falha de bypass de autenticação no módulo Drupal Internationalization Single Sign-On. O módulo não valida adequadamente um token de curta duração, permitindo que um invasor ignore o controle de acesso e se autentique como um usuário vítima. Este problema ocorre em cenários de sites multilíngues onde diferentes nomes de domínio são usados por idioma para permitir a conexão automática entre domínios. A exploração requer que o invasor aparente originar-se do mesmo endereço IP de cliente que a vítima. **Recommendations** Atualize o Drupal Internationalization Single Sign-On para uma versão posterior à 1.8.0.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI SEO/GEO Analyzer versões 0.0.0 a 1.1.3 **Description** Ocorre Cross-site Scripting (XSS) Armazenado quando o módulo gera relatórios de análise de SEO/GEO enviando o conteúdo de uma entidade, incluindo comentários, para um Large Language Model (LLM). O módulo converte a resposta em Markdown do LLM para HTML e a armazena para usuários privilegiados sem passá-la pelo pipeline de filtragem. Uma injeção de prompt manipulada — onde um invasor insere texto malicioso no conteúdo analisado pelo LLM — pode fazer com que o modelo gere marcações que executam scripts quando o relatório é visualizado. Prompt injection é uma técnica usada para manipular a saída de um LLM fornecendo entradas especificamente elaboradas. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Location Selector versões 0.0.0 a 1.3.0 **Description** Um problema de injeção de SQL existe no módulo Location Selector, que fornece um filtro de Views para selecionar valores de localização. Um filtro de Views específico não sanitiza adequadamente os valores provenientes de entrada do usuário, permitindo a neutralização inadequada de elementos especiais usados em um comando SQL. Este problema é mitigado caso não exista uma View que utilize o filtro afetado e esteja configurada para aceitar entrada do usuário. **Recommendations** Atualize o Location Selector para uma versão posterior à 1.3.0.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Commerce Realex / Global Payments versões 0.0.0 a 3.0.2 **Description** Um problema de autorização incorreta permite a navegação forçada (forceful browsing) quando o gateway está configurado com o método de pagamento por redirecionamento. O módulo não verifica adequadamente a autenticidade da resposta de pagamento retornada pelo Global Payments. Isso afeta especificamente o método de pagamento por redirecionamento, enquanto o método lightbox, que valida a assinatura, não é afetado. **Recommendations** Atualize o Drupal Commerce Realex / Global Payments para uma versão posterior à 3.0.2. Como medida de mitigação temporária, evite usar o método de pagamento por redirecionamento e utilize o método de pagamento lightbox.

**Nome do Software Vulnerável e Versões Afetadas** WissKI versões 0.0.0 a 4.2.0 **Description** Uma falha de autorização no submódulo `wisski mirador` permite a navegação forçada (forceful browsing) e a ignorância de controles de acesso (access bypass). O módulo não valida adequadamente os parâmetros enviados via rota antes de gravá-los no objeto de sessão. **Recommendations** Atualize o WissKI para uma versão posterior à 4.2.0. Restrinja o uso do submódulo `wisski mirador` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Advanced Content Feedback versões 0.0.0 a 2.8.0 **Description** Um problema de autorização incorreta no módulo Advanced Content Feedback permite a navegação forçada (Forceful Browsing). O módulo não verifica adequadamente a autorização sobre o registro de feedback alvo durante o processamento do envio de um comentário. Este problema pode ser explorado por usuários com a permissão "give feedback", que é concedida a usuários anônimos e autenticados por padrão na instalação. **Recommendations** Atualize o Drupal Advanced Content Feedback para uma versão posterior à 2.8.0.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI versões 0.0.0 through 1.2.17 Drupal AI versões 1.3.0 through 1.3.8 Drupal AI versões 1.4.0 through 1.4.3 **Description** Uma falha de autorização ausente permite a navegação forçada (Forceful Browsing). Certas ações do núcleo do Drupal, expostas como ferramentas de agente, não possuem a validação de acesso correta, e algumas ações do núcleo carecem de definições de nível de acesso associadas. Isso permite que um agente utilize ferramentas de ações do núcleo do Drupal ignorando os controles de acesso, desde que o invasor consiga se comunicar com o agente afetado e o site esteja configurado para expor essas ferramentas a usuários não privilegiados. **Recommendations** Atualize as versões do Drupal AI 0.0.0 through 1.2.17 para uma versão posterior a 1.2.17. Atualize as versões do Drupal AI 1.3.0 through 1.3.8 para uma versão posterior a 1.3.8. Atualize as versões do Drupal AI 1.4.0 through 1.4.3 para uma versão posterior a 1.4.3.

**Nome do Software Vulnerável e Versões Afetadas** Tealium iQ Tag Management versões 0.0.0 a 2.4.0 **Description** A modificação inadequadamente controlada de atributos de objeto determinados dinamicamente no módulo Tealium iQ Tag Management permite a Injeção de Objetos. Isso ocorre porque o campo `tealiumiq` armazena dados como strings serializadas em PHP; se dados maliciosos forem gravados nesse campo, eles podem ser executados quando os dados forem desserializados. A exploração requer que o invasor tenha permissões para editar uma entidade de conteúdo com um campo `tealiumiq` anexado. Além disso, o módulo core `jsonapi` deve estar habilitado com a opção "Accept all JSON:API create, read, update, and delete operations", ou o invasor deve ter outro método para editar os valores dos campos diretamente. **Recommendations** Atualize o Tealium iQ Tag Management para uma versão posterior à 2.4.0. Restrinja as permissões para editar entidades de conteúdo que contenham o campo `tealiumiq`. Desative a opção "Accept all JSON:API create, read, update, and delete operations" no módulo `jsonapi`.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI versões 0.0.0 through 1.2.17 Drupal AI versões 1.3.0 through 1.3.8 Drupal AI versões 1.4.0 through 1.4.3 **Description** A neutralização inadequada de entrada durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo e submódulos específicos, incluindo AI Automators, AI Translate, AI API Explorer e AI Content Suggestions, permitem o uso de um Large Language Model (LLM) para gerar HTML ou Markdown para visualização no navegador. Sob certas condições, a renderização deste HTML pode levar a XSS ou à exposição de comunicações secretas no contexto da requisição do LLM. Este problema requer que um atacante seja capaz de injetar texto em prompts para executar o ataque. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI Agents versões 0.0.0 até 1.1.4 Drupal AI Agents versões 1.2.0 até 1.2.5 Drupal AI Agents versões 1.3.0 até 1.3.1 **Descrição** Um problema de autorização incorreta permite a navegação forçada. Sob certas circunstâncias, o agente herda parâmetros determinísticos ao invocar a mesma ferramenta em uma única requisição, o que pode levar à divulgação de informações. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.