Greg Knaddison

Um problema de Cross-Site Request Forgery (CSRF) existe no módulo utilizado para integração com a API Stripe Connect. Ao redirecionar para o Stripe Connect para gerar um código de autorização, o módulo não inclui um token CSRF na URI de retorno. Isso permite que um invasor engane um administrador para clicar em um link que ignora o processo de pagamento, resultando em pedidos marcados como pagos sem que o pagamento real tenha sido processado.

Existe um problema de autorização incorreta no módulo utilizado para organizar produtos tangíveis em remessas para cumprimento. O sistema não verifica adequadamente as permissões de acesso no formulário utilizado para reenviar recibos. Sob configurações específicas, isso permite que usuários não autorizados realizem a navegação forçada para acessar recibos e informações confidenciais de clientes de pedidos que não deveriam visualizar.

Níveis de controle de acesso configurados incorretamente no submódulo AI Search permitem que o cache do navegador web contenha informações sensíveis. Embora o backend do AI Search verifique o acesso para cada resultado de pesquisa, essa verificação é ignorada quando o Search API armazena em cache os resultados de uma view. Consequentemente, usuários podem visualizar resultados de pesquisa em cache, como títulos e campos de conteúdo não publicado ou restrito, caso um usuário com permissões adequadas tenha realizado a mesma pesquisa dentro do tempo de vida do cache. Isso ocorre quando o submódulo AI Search está habilitado e uma view do Search API utiliza cache de resultados baseado em tempo, tags ou ambos.

A neutralização inadequada de entradas durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo não valida suficientemente links Markdown sob certas condições, o que pode levar à execução de scripts maliciosos no navegador do usuário.

Ocorre Cross-site Scripting (XSS) Armazenado devido à neutralização inadequada de entrada durante a geração de páginas web. O submódulo AI Automator, que permite o preenchimento automático de campos com base em outros campos, não verifica adequadamente o acesso aos formatos de texto. Isso permite que usuários criem dados de campo em formatos de texto aos quais não deveriam ter acesso.

Um problema de autorização incorreta permite a navegação forçada (forceful browsing) no módulo utilizado para organizar produtos tangíveis em remessas para cumprimento. O módulo não protege adequadamente as referências de remessa e os campos de entidade de remessa, levando a um bypass de acesso. Isso pode resultar na modificação inadequada de estados de remessa ou na exclusão de remessas. A exploração requer que o invasor possua um carrinho com acesso baseado em API para manipular as remessas.

Existe um problema onde o módulo não restringe suficientemente as variações de produtos retornadas por consultas de entidade àquelas que o usuário atual tem permissão para visualizar. Quando o módulo core JSON:API está habilitado, um invasor pode realizar a navegação forçada fazendo requisições repetidas para determinar valores de campos de variações de produtos não publicados ou variações de produtos não publicados.

O Cross-Site Request Forgery (CSRF) ocorre quando um usuário é enganado para realizar uma ação que não pretendia. Neste caso, as rotas para a caixa de entrada não verificam tokens CSRF. Um invasor pode enganar um usuário com a permissão "access commerce administration pages" para visitar uma página maliciosa que descarta as notificações. Como a caixa de entrada é compartilhada, essa ação oculta as mensagens, incluindo avisos de atualizações de segurança, para todos os administradores.

Um problema no submódulo AI Chatbot ocorre quando a entrada do usuário não é filtrada adequadamente antes de ser renderizada em uma página web, levando ao Cross-Site Scripting (XSS). Isso ocorre sob certas configurações e exige que o invasor tenha permissões para administrar blocos.

Uma autorização incorreta no módulo AI permite a injeção de recursos. O módulo não valida links adequadamente sob certas condições, o que pode permitir a exfiltração de informações sensíveis para sites externos. Isso ocorre quando um invasor utiliza fontes não confiáveis ao interagir com o módulo de forma a produzir HTML renderizado.

O armazenamento inseguro de informações sensíveis ocorre quando arquivos de áudio para solicitações de fala-para-texto são gravados em um único arquivo no diretório temporário e não são excluídos após o processamento. Isso permite que um invasor com acesso de leitura ao diretório temporário do site—potencialmente via hospedagem compartilhada ou outro código que exponha arquivos temporários—recupere dados de áudio enviados por outros usuários para transcrição.

Este módulo fornece uma estrutura para integrar provedores e recursos de IA no Drupal. O problema ocorre porque o módulo não sanitiza adequadamente certos atributos HTMX, levando ao Cross-Site Scripting (XSS), onde scripts maliciosos podem ser injetados em páginas da web.

Existe uma falha de bypass de autenticação no módulo que permite a autenticação via protocolo OpenID Connect (oAuth2). Quando um novo usuário faz login, o módulo tenta vincular o usuário a uma conta existente com o mesmo endereço de e-mail. Isso permite assumir o controle de qualquer conta Drupal existente, exceto o usuário 1, desde que a conta ainda não tenha sido vinculada a um usuário OpenID Connect. Este problema é mitigado pelo fato de que o site deve estar configurado para usar um provedor que não verifique o endereço de e-mail do usuário.

Um problema de autorização incorreta permite a navegação forçada. O módulo não restringe suficientemente o acesso aos campos de licença para usuários com a permissão `update own commerce license`. Consequentemente, o proprietário de uma licença pode alterar o estado da licença e os direitos concedidos por ela, o que pode resultar em escalada de privilégios até a função de Administrador.

Um problema de autorização incorreta permite a navegação forçada quando o Drupal Commerce é utilizado em conjunto com o módulo JSON:API. Isso permite que usuários sem as permissões adequadas acessem variações de produtos não publicados. Este problema afeta especificamente sites que mantêm produtos publicados e variações de produtos não publicados.

Uma falha de autorização ausente permite a navegação forçada e a evasão de controle de acesso. A falha decorre da proteção insuficiente de rotas e campos de entidade, permitindo que invasores não autenticados executem ações privilegiadas, manipulem pedidos e acessem dados de pagamento de clientes ou informações de identificação pessoal (PII). Este problema afeta o carrinho de compras, o checkout e a funcionalidade de API. Estima-se que mais de 42.000 implantações sejam afetadas. Existem confirmações de exploração ativa, incluindo instâncias de pedidos fraudulentos em sites reais.

Um problema de autorização incorreta permite a navegação forçada. O módulo não verifica adequadamente o acesso à relação entre promoções e cupons. Consequentemente, um usuário autorizado apenas a gerenciar suas próprias promoções pode modificar ou excluir cupons associados a outras promoções. Este problema é mitigado se o site não permitir gravações via JSON:API ou REST, que vêm desativados por padrão.

Uma falha de autorização incorreta permite a navegação forçada quando uma loja é salva. O sistema não verifica as permissões de acesso adequadamente, permitindo que um usuário com a capacidade de criar lojas ou editar sua própria loja a marque como a loja padrão do site. Isso faz com que o usuário receba pedidos aos quais normalmente não deveria ter acesso. Este problema afeta principalmente sites que concedem essas permissões a usuários não confiáveis, como sites de marketplace onde os vendedores gerenciam suas próprias lojas.

A neutralização inadequada de entrada durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo não restringe suficientemente a renderização de HTML, permitindo a execução de scripts maliciosos sob certas condições. Este problema é mitigado pelo fato de que um invasor deve ter acesso a um formato de texto que possa renderizar HTML.

A verificação inadequada de assinaturas criptográficas no módulo permite a falsificação de assinatura (signature spoofing). O problema ocorre quando um segredo de assinatura não é configurado corretamente nas definições do gateway de pagamento, resultando em uma verificação insuficiente das assinaturas de eventos de webhook. Webhooks são mensagens automatizadas enviadas do Stripe para a aplicação para notificá-la sobre eventos, como pagamentos bem-sucedidos.