Giuseppe

Quando o módulo Webform é utilizado com o JSON:API habilitado, as submissões podem ser armazenadas em cache sem a variação correta por usuário autenticado. Isso ocorre quando um formulário web é configurado para permitir que usuários autenticados visualizem suas próprias submissões, podendo fazer com que uma requisição ao endpoint de coleção de submissões do JSON:API retorne uma resposta em cache gerada para um usuário diferente. Consequentemente, um usuário autenticado pode visualizar dados de submissão de outro usuário. Aproximadamente 436.300 instâncias de Drupal foram identificadas globalmente como potencialmente expostas. Este problema requer que o JSON:API esteja habilitado, que o formulário web afetado exponha submissões através do JSON:API e que o atacante possua uma conta com permissões para visualizar suas próprias submissões.

Uma autorização incorreta no módulo permite a navegação forçada (forceful browsing). O módulo não verifica adequadamente as permissões de criação, visualização e atualização do webform pai ao acessar endpoints REST. Este problema requer que o invasor já possua permissões para utilizar o recurso REST.

O problema está relacionado a uma vulnerabilidade de autorização ausente no módulo Download All Files para o CMS Drupal, que permite a navegação forçada. Essa vulnerabilidade pode ser explorada por um invasor remoto para contornar restrições de segurança e realizar um ataque de navegação forçada.