Jã¼Rgen Haas

Existe um problema em que o módulo Navigation não sanitiza adequadamente certos atributos, levando ao Cross-Site Scripting (XSS), uma condição onde scripts maliciosos são injetados em sites confiáveis. A exploração requer que o invasor possua uma função com permissão para inserir tags HTML contendo atributos de dados específicos ou a permissão `administer menu`.

Existe um problema onde o módulo não sanitiza adequadamente certos atributos, levando ao cross-site scripting (XSS), uma falha que permite a invasores injetar scripts maliciosos em páginas web. Aproximadamente 15.300 instâncias foram identificadas globalmente. A exploração requer que o invasor possua uma função com permissão para inserir tags HTML contendo atributos de dados específicos ou a permissão `administer menu`.

Uma falha de autorização ausente permite a navegação forçada (Forceful Browsing). O módulo fornece uma rota para que dispositivos de sinalização atualizem blocos dinâmicos em um visor, mas não verifica se o solicitante é um dispositivo de sinalização autorizado ou se o bloco solicitado é destinado à exibição. Consequentemente, um visitante anônimo pode ler o conteúdo renderizado de blocos que não deveria visualizar. Isso é parcialmente mitigado caso os plugins de bloco realizem suas próprias verificações de acesso ao conteúdo.

A modificação inadequadamente controlada de atributos de objetos determinados dinamicamente permite a Injeção de Objetos. Além disso, o submódulo Render não sanitiza adequadamente o código do template ao renderizar templates Twig inline como parte de modelos sem código, o que pode levar à divulgação de informações. Este problema é mitigado caso o site não esteja executando um modelo ECA que utilize a ação "Render: Twig" em um fluxo de dados.

Existe um problema de autorização no Drupal Entity Share que permite navegação forçada. Essa falha potencialmente permite acesso não autorizado a recursos.