Helena Zajika

O módulo Drupal Monobank payment API, utilizado para integração de pagamentos de aquisição do Monobank, não verifica a assinatura criptográfica de webhooks antes de processar as notificações de status de pagamento. Essa falha permite a falsificação de assinatura (signature spoofing), na qual um invasor pode forjar notificações de pagamento para enganar o sistema e aceitar status de pagamento fraudulentos.

O Drupal AlternativeCommerce (Basket) contém um problema onde os dados fornecidos pelo usuário não são suficientemente sanitizados antes de serem passados para a função `unserialize()` do PHP. Isso permite a Injeção de Objetos PHP, uma condição em que um invasor pode manipular objetos serializados para alterar a lógica da aplicação. Se uma gadget chain viável—uma sequência de fragmentos de código existentes que podem ser executados durante a desserialização—estiver presente no código do site ou nas dependências, isso pode resultar na execução de código PHP arbitrário.