Greg Knaddison

**Nome do Software Vulnerável e Versões Afetadas** Drupal Commerce CyberSource versões 0.0.0 a 1.10.0 **Descrição** Uma discrepância de tempo observável na integração do gateway Secure Acceptance Hosted Checkout permite ataques de força bruta. O módulo não verifica corretamente a integridade dos dados retornados pelo provedor de pagamento, o que poderia permitir que um invasor utilize um ataque de temporização para enganar o site, registrando que o pagamento foi recebido mesmo quando não foi. **Recomendações** Atualize o Drupal Commerce CyberSource para uma versão posterior à 1.10.0.

**Nome do Software Vulnerável e Versões Afetadas** DXPR Builder: The Best Editing (AI) Experience for Drupal versões 0.0.0 a 2.8.1 **Description** O DXPR Builder permite Forceful Browsing devido à inserção de informações sensíveis nos dados enviados. Na versão 2.x, o módulo não restringe adequadamente o acesso às credenciais de API nas configurações de JavaScript. Quando os recursos do agente de IA estão habilitados, o JSON Web Token utilizado para licenciamento, gerenciamento de licenças de usuário, serviços de IA e metadados de assinatura é exposto a todos os visitantes da página, incluindo usuários anônimos, através da variável `drupalSettings`. **Recommendations** Atualize o DXPR Builder: The Best Editing (AI Experience) for Drupal para uma versão posterior à 2.8.1. Como mitigação temporária, desative os recursos do agente de IA para evitar a exposição do token de API via `drupalSettings`.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Monster Menus versões 0.0.0 a 9.5.3 **Descrição** Ocorre Cross-site Scripting (XSS) Armazenado porque o módulo não sanitiza adequadamente o código HTML contido no nome da página quando exibido no navegador de árvore integrado. Isso permite que um invasor com a capacidade de criar páginas execute JavaScript arbitrário no contexto da sessão do usuário. Cross-site Scripting é uma falha onde scripts maliciosos são injetados em sites confiáveis. **Recomendações** Atualize o Drupal Monster Menus para uma versão posterior à 9.5.3.

**Nome do Software Vulnerável e Versões Afetadas** Entity API versões 0.0.0 a 1.8.0 **Description** Uma falha de autorização incorreta no Entity API permite a navegação forçada (forceful browsing). O módulo não aplica corretamente os controles de acesso para os endpoints de coleção de entidades do JSON:API, resultando em uma vulnerabilidade de divulgação de informações. Este problema ocorre quando o módulo JSON:API está habilitado em conjunto com o módulo Entity API. **Recommendations** Atualize o Entity API para uma versão posterior à 1.8.0. Como medida de mitigação temporária, desabilite o módulo JSON:API para evitar a exploração dos endpoints de coleção de entidades.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Slick Carousel versões 0.0.0 a 2.1.0 **Description** A neutralização inadequada de entrada durante a geração de páginas web no sub-módulo Slick UI permite Cross-site Scripting (XSS) Armazenado. O problema ocorre porque o módulo não valida suficientemente a entrada do usuário em conjuntos de opções Slick que contenham HTML para botões de carrossel. **Recommendations** Atualize o Drupal Slick Carousel para a versão 8.x-2.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** O nome do produto não pôde ser determinado (versões afetadas não especificadas) **Descrição** Dois problemas distintos foram identificados. Primeiro, um módulo projetado para restringir o acesso ao endpoint `/user/login` por meio de uma chave secreta não invalida os caches relevantes ao ser ativado. Isso permite que atacantes acessem a página de login por meio de respostas em cache. Segundo, um módulo que expõe dados estruturados via endpoints JSON não verifica suficientemente as permissões de acesso. Isso permite que usuários anônimos recuperem valores de campos de entidades que não têm autorização para visualizar, como conteúdo não publicado. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** CAPTCHA Protected Page versões 0.0.0 a 1.0.2 **Descrição** Existe uma falha de bypass de autenticação no módulo CAPTCHA Protected Page, que permite que administradores do site exijam a confirmação de CAPTCHA em páginas específicas. O módulo não valida adequadamente seus cookies de verificação de CAPTCHA, permitindo que um usuário não autenticado ou um bot automatizado forje o cookie e ignore completamente o processo de verificação. **Recomendações** Atualize o CAPTCHA Protected Page para uma versão posterior à 1.0.2.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Blazy versões 0.0.0 a 3.0.18 **Description** Um problema de autorização incorreta permite a navegação forçada (Forceful Browsing). O módulo permite que usuários exibam um campo de uma entidade de destino por meio de um shortcode do plugin Blazy Filter. Como o módulo não verifica consistentemente o acesso de visualização da entidade, um usuário com acesso a um formato de texto habilitado para Blazy pode renderizar um campo de uma entidade que não tem permissão para visualizar. Isso se limita aos campos que o shortcode é capaz de renderizar. **Recommendations** Atualize o Drupal Blazy para uma versão posterior à 3.0.18.

**Nome do Software Vulnerável e Versões Afetadas** Entity PDF versões 0.0.0 a 2.1.5 **Descrição** A ausência de autorização no módulo Entity PDF permite a navegação forçada (Forceful Browsing). O módulo não verifica o acesso de visualização da entidade ao buscar uma rota de PDF, o que pode permitir que um usuário acesse o PDF de uma entidade que ele não deveria ter permissão para visualizar. **Recomendações** Atualize o Entity PDF para uma versão posterior à 2.1.5.

**Nome do Software Vulnerável e Versões Afetadas** Content Moderation Notifications versões 0.0.0 a 3.9.0 **Descrição** Existe um problema onde uma permissão que permite aos usuários configurar modelos de e-mail contendo código Twig (um mecanismo de modelos para páginas web) não foi marcada como restrita. Se um administrador do site conceder essa permissão a usuários menos confiáveis, esses usuários poderão executar código Twig em modelos de e-mail para escalar privilégios e acessar funcionalidades ou informações destinadas apenas a administradores altamente confiáveis. **Recomendações** Atualize o Content Moderation Notifications para uma versão posterior à 3.9.0.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Address Suggestion versões 0.0.0 a 1.0.25 **Description** A neutralização inadequada de entrada durante a geração de páginas web permite a ocorrência de Cross-Site Scripting (XSS). O módulo Address Suggestion, que fornece a funcionalidade de preenchimento automático de endereços por meio de provedores configurados, não sanitiza adequadamente os dados retornados por esses provedores. A exploração requer que um invasor injete conteúdo malicioso nos dados retornados por um provedor de endereços configurado e que um usuário realize uma pesquisa que retorne a sugestão maliciosa. **Recommendations** Atualize o Drupal Address Suggestion para uma versão posterior à 1.0.25.

**Nome do Software Vulnerável e Versões Afetadas** Disable Login Page versões 0.0.0 a 1.1.4 **Descrição** Existe uma falha de bypass de autenticação porque o módulo não invalida os caches relevantes quando as restrições de acesso à página de login são ativadas. Isso permite que respostas anteriormente armazenadas em cache para o endpoint `/user/login` permaneçam acessíveis, permitindo que um invasor ignore a funcionalidade destinada a restringir o acesso à página de login. **Recomendações** Limpe os caches do sistema após ativar as restrições de acesso à página de login para garantir que as respostas em cache para o endpoint `/user/login` sejam invalidadas.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Digital Signage Framework versões 0.0.0 a 2.6.1 **Description** Uma falha de autorização ausente permite a navegação forçada (Forceful Browsing). O módulo fornece uma rota para que dispositivos de sinalização atualizem blocos dinâmicos em um visor, mas não verifica se o solicitante é um dispositivo de sinalização autorizado ou se o bloco solicitado é destinado à exibição. Consequentemente, um visitante anônimo pode ler o conteúdo renderizado de blocos que não deveria visualizar. Isso é parcialmente mitigado caso os plugins de bloco realizem suas próprias verificações de acesso ao conteúdo. **Recommendations** Atualize o Drupal Digital Signage Framework para uma versão posterior à 2.6.1.

**Nome do Software Vulnerável e Versões Afetadas** Drupal LDAP / Active Directory Integration versões 0.0.0 a 2.2.1 **Descrição** Um problema de Injeção LDAP existe porque o módulo não sanitiza adequadamente a entrada fornecida pelo usuário antes de incorporá-la em um filtro de pesquisa LDAP. Isso permite que um invasor descubra informações que normalmente não deveriam estar acessíveis. **Recomendações** Atualize o Drupal LDAP / Active Directory Integration para uma versão posterior à 2.2.1.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Screenshot versões *.* **Descrição** Existe um problema de segurança no projeto Drupal Screenshot. O projeto está atualmente marcado como não suportado, e a falha de segurança permanece não corrigida pelo mantenedor. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Screenshot versões *.* **Descrição** Existe um problema de segurança no projeto Drupal Screenshot. O projeto está atualmente marcado como não suportado, e a falha de segurança permanece não corrigida pelo mantenedor. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Gammu SMS Daemon versões *.* **Descrição** Existe um problema de segurança no projeto Drupal Gammu SMS Daemon. O projeto está atualmente marcado como não suportado, e a falha de segurança permanece sem correção pelo mantenedor. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Gammu SMS Daemon versões *.* **Descrição** Existe um problema de segurança no projeto Drupal Gammu SMS Daemon. O projeto está atualmente marcado como não suportado, e a falha de segurança permanece sem correção pelo mantenedor. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Gammu SMS Daemon versões *.* **Descrição** Existe um problema de segurança no projeto Drupal Gammu SMS Daemon. O projeto está atualmente marcado como não suportado, e a falha de segurança permanece sem correção pelo mantenedor. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Entity Share Websub versões 0.0.0 a 1.1.2 **Descrição** A validação insuficiente de certas entradas permite que um invasor realize Server-Side Request Forgery (SSRF), uma técnica na qual o servidor é coagido a fazer requisições não autorizadas a recursos internos ou externos. **Recomendações** Atualize o Drupal Entity Share Websub para uma versão posterior à 1.1.2.