Drew Webber

Existe um problema de segurança na integração Drupal GroupEx PRO ( Daxko ). O projeto está atualmente marcado como não suportado e o mantenedor não forneceu uma correção para este problema.

Existe um problema de segurança no módulo PayUmoney for Drupal Commerce. O projeto foi marcado como não suportado pela Equipe de Segurança do Drupal porque o mantenedor não forneceu uma correção para este problema.

O Single Content Sync permite a exportação e importação de conteúdo, entidades referenciadas e arquivos entre sites Drupal. Um arquivo de importação maliciosamente criado pode causar a desserialização de dados não confiáveis, levando potencialmente à execução remota de código via Injeção de Objeto. Este problema requer que o invasor possua uma função com a permissão "import single content".

Ocorre Cross-site Scripting (XSS) Armazenado porque o tema não sanitiza adequadamente os títulos dos links do menu antes de inseri-los em atributos de classe HTML. Este problema requer que um invasor tenha permissões para criar ou modificar títulos de links de menu por meio da administração do menu ou das configurações de menu de conteúdo.

Ocorre Cross-site Scripting (XSS) Armazenado quando o formatador `file uri` não escapa adequadamente os nomes dos arquivos ao renderizar links para arquivos carregados. Isso permite que um invasor com permissões para carregar arquivos em um subcampo de arquivo do Data Field injete scripts maliciosos na página web. Cross-site Scripting é uma falha onde dados não confiáveis são inseridos em uma página web sem a devida validação ou codificação, permitindo a execução de scripts no navegador da vítima.

Ocorre Cross-site Scripting (XSS) Armazenado porque o tema não sanitiza adequadamente os títulos dos links do menu antes de inseri-los em atributos de classe HTML. Este problema permite que um invasor que possa criar ou modificar títulos de links de menu, por meio da administração do menu ou configurações de menu de conteúdo permitidas, execute scripts maliciosos no contexto da sessão do usuário.

A neutralização inadequada de entradas durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo não valida suficientemente as configurações de ícones fornecidas pelos usuários antes de serem renderizadas.

A modificação inadequadamente controlada de atributos de objetos determinados dinamicamente no módulo Drupal Monster Menus permite a injeção de objetos. Especificamente, o submódulo RSS Page utiliza a função `unserialize()` do PHP ao processar a entrada do formulário de criação de nós. Isso permite que um invasor com a permissão "RSS Feed: Create new content" injete objetos PHP. A injeção de objetos é uma condição em que entradas não confiáveis são passadas para uma função de desserialização, potencialmente permitindo a execução de código arbitrário ou a manipulação da lógica da aplicação.

Ocorre Cross-site Scripting (XSS) Armazenado porque o tema não sanitiza adequadamente os títulos dos links do menu antes de inseri-los em atributos de classe HTML. Este problema requer que um invasor tenha permissões para criar ou modificar títulos de links de menu por meio da administração do menu ou das configurações de menu de conteúdo.

Ocorre Cross-site Scripting (XSS) Armazenado porque o texto inserido pelo usuário é utilizado como parte de um slide sem a filtragem adequada. Este problema requer que o invasor possua uma função com permissões para editar a legenda.

Existe um problema onde um módulo específico da distribuição não sanitiza adequadamente os nomes de mídia, permitindo Cross-site Scripting (XSS) Armazenado, que ocorre quando uma aplicação inclui dados não confiáveis em uma página web sem a devida validação ou codificação. A exploração requer que o invasor possua uma função com permissões para criar ou editar uma entidade de mídia.

Existe um problema no módulo Link do Drupal core, que fornece um tipo de campo para URLs internas e externas. O módulo não sanitiza adequadamente certas marcações em algumas circunstâncias, o que pode levar a vulnerabilidades de Cross-Site Scripting (XSS), uma condição em que scripts maliciosos são injetados em sites confiáveis.

Existe um problema de Reflexão Insegura onde entradas controladas externamente podem ser usadas para selecionar classes ou código, levando à Injeção de Reflexão. Esta falha permite a execução remota de código. Embora o problema não seja diretamente explorável usando o módulo isoladamente, existem múltiplos caminhos de exploração graves quando combinado com outros módulos contribuídos, incluindo pelo menos um caminho que não requer autenticação. Códigos personalizados também podem expor essa funcionalidade.

Um problema de execução remota de código existe no módulo Field UI (`field ui`) do Drupal core. Embora o problema não seja diretamente explorável apenas com a funcionalidade do core, existem múltiplos caminhos de exploração graves através do uso de módulos contribuídos ou código personalizado. Pelo menos um caminho de exploração conhecido permite a execução remota de código sem autenticação. Aproximadamente 151.000 sites estão potencialmente afetados devido ao uso de ramificações obsoletas do CMS. Esta falha pode ser utilizada para realizar movimentação lateral de servidores web comprometidos para a infraestrutura interna.

Uma falha de autorização incorreta permite a navegação forçada (Forceful Browsing). O módulo não verifica adequadamente o acesso à entidade em vários endpoints do editor. A exploração requer que o invasor possua uma função com a permissão "use gutenberg".

Uma falha de autorização permite a navegação forçada (Forceful Browsing) devido à verificação insuficiente de acesso à entidade ao renderizar uma entidade através da rota de exemplo de modo de exibição. Isso permite que um invasor visualize conteúdo não publicado ou com acesso restrito. O acesso ao nível de campo ainda é aplicado, impedindo a divulgação de campos restritos, como endereços de e-mail ou hashes de senha.

Existe um problema de segurança no projeto Drupal Orphans Media. O projeto foi marcado como não suportado pela Equipe de Segurança do Drupal porque o mantenedor não forneceu uma correção para este problema.

A modificação inadequadamente controlada de atributos de objeto determinados dinamicamente no módulo Block AJAX permite a Injeção de Objetos. O módulo não valida suficientemente os dados fornecidos pelo usuário usados para construir um bloco, o que pode levar à Injeção de Objetos PHP e Execução Remota de Código. Este problema afeta especificamente sites que possuem o Layout Builder habilitado ou outros plugins de bloco que manipulem os dados passados por este módulo de maneira insegura.

Existe um problema de segurança no projeto Drupal ECA Helper. A Equipe de Segurança do Drupal marcou este projeto como não suportado porque o mantenedor não forneceu uma correção para o problema conhecido.

A validação insuficiente de um elemento de upload de arquivo gerenciado durante o processamento de novas submissões permite que um usuário com acesso de submissão possa, potencialmente, acessar outros arquivos gerenciados para os quais não possui autorização. Este problema ocorre quando um site é configurado com um Webform contendo um elemento de upload de arquivo gerenciado e uma configuração que expõe arquivos enviados, como permitir que usuários visualizem suas próprias submissões ou o envio de uploads como anexos de e-mail. Aproximadamente 436.400 instâncias foram identificadas globalmente.