Jacob Rockowitz

Uma falha de autorização incorreta permite a navegação forçada (forceful browsing) no módulo Webform. O módulo não restringe adequadamente o acesso a certos modos de visualização de submissões. Consequentemente, um usuário com permissão para visualizar uma submissão pode acessar um modo de visualização mais permissivo e ver campos que, de outra forma, estariam restritos. Isso requer que o invasor já tenha acesso para visualizar a submissão afetada.

O módulo Webform não exclui adequadamente certos modelos de formato da substituição de tokens. Isso permite que um invasor envie dados que são avaliados como código de modelo quando uma submissão é renderizada. Dependendo da configuração do site e dos módulos habilitados, isso pode levar à execução remota de código, cross-site scripting (XSS) armazenado ou divulgação de informações. Este problema é mitigado se o webform não estiver configurado com um formato de item de valor múltiplo personalizado que inclua tokens de valor de submissão. Aproximadamente 436.300 instâncias foram identificadas globalmente.

Existe um problema onde as regras de acesso específicas do usuário não são suficientemente protegidas contra configurações salvas malformadas. Sob condições específicas do site, uma regra de acesso projetada para restringir o acesso a envios apenas a contas de usuário selecionadas pode, inadvertidamente, conceder acesso a usuários anônimos. Aproximadamente 436.300 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

O módulo Webform não força adequadamente o download de certos tipos de arquivos carregados quando estes são servidos. Em configurações específicas do site, um arquivo enviado por meio de um formulário web pode ser renderizado inline pelo navegador, resultando em cross-site scripting (XSS), onde scripts maliciosos são executados no navegador da vítima. Aproximadamente 436.300 instâncias foram identificadas globalmente. Este problema requer que um usuário com permissão para criar ou editar formulários web configure o formulário para permitir as extensões de arquivo afetadas, e que a vítima abra especificamente o arquivo carregado.

O módulo Webform contém um elemento de classificação que não valida os dados adequadamente. Essa falha pode permitir cross-site scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis, em páginas que contenham um elemento de classificação. A exploração requer que o invasor seja capaz de inserir marcações HTML manipuladas na mesma página que o elemento de classificação. Aproximadamente 436.300 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

O módulo Webform não sanitiza adequadamente os atributos usados em seu elemento de cor. Isso pode resultar em cross-site scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis, quando o elemento é renderizado. A exploração requer que o invasor adicione um link especialmente criado com uma classe específica na mesma página que o webform afetado. Aproximadamente 436.400 instâncias de Drupal foram identificadas globalmente como alvos potenciais.

Existe um problema no módulo Webform, utilizado para criar formulários e coletar envios. Devido à sanitização inadequada do texto de anúncio utilizado para tecnologias assistivas, entradas especialmente elaboradas podem levar ao cross-site scripting. Aproximadamente 436.400 instâncias de Drupal foram identificadas globalmente como potencialmente expostas. A execução remota de código também é possível.

O módulo Webform não sanitiza adequadamente a configuração do contador de texto antes de passar as opções para a biblioteca jQuery Text Counter incluída. Essa falha permite que marcações de configurações relacionadas ao contador sejam inseridas na página, resultando em cross-site scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis. A exploração requer que o invasor tenha permissões para criar ou editar elementos Webform afetados ou para colocar marcações de contador manipuladas em uma página onde o JavaScript do contador Webform esteja ativo. Aproximadamente 436.300 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

O módulo Webform, utilizado para criar formulários e processar envios, contém uma falha na maneira como lida com os manipuladores de Post Remoto (Remote Post handlers). Esses manipuladores enviam dados para servidores externos via APIs. O módulo não filtra adequadamente os valores de resposta do manipulador de Post Remoto antes que esses valores sejam renderizados por meio de tokens de resposta do manipulador. Consequentemente, se um site utilizar esses tokens na saída renderizada, um endpoint remoto poderá retornar valores que sejam renderizados como HTML, resultando em cross-site scripting (XSS), onde scripts maliciosos são injetados em sites confiáveis. Aproximadamente 436.300 instâncias foram identificadas globalmente.

O submódulo Webform Entity Print não limita suficientemente o acesso aos seus modelos de impressão. Um usuário com permissões para criar e editar seus próprios formulários web pode explorar isso para realizar cross-site scripting (XSS) nas configurações do submódulo. Aproximadamente 436.400 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

O submódulo Webform Share, que permite que construtores de sites exponham webformulários para incorporação em outros sites, contém uma falha onde envios de webformulários habilitados para Ajax podem ignorar as proteções anti-spam. Isso ocorre quando o webformulário depende de proteções anti-spam compatíveis baseadas em Form-API, como Honeypot ou Antibot. Aproximadamente 436.400 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

O módulo Webform não valida adequadamente um valor de consulta de token opcional. Em configurações específicas onde um formulário é renderizado para visitantes anônimos, uma requisição maliciosa pode causar o consumo significativo de recursos, levando a uma Negação de Serviço (Denial of Service). Aproximadamente 436.400 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

A validação insuficiente de um elemento de upload de arquivo gerenciado durante o processamento de novas submissões permite que um usuário com acesso de submissão possa, potencialmente, acessar outros arquivos gerenciados para os quais não possui autorização. Este problema ocorre quando um site é configurado com um Webform contendo um elemento de upload de arquivo gerenciado e uma configuração que expõe arquivos enviados, como permitir que usuários visualizem suas próprias submissões ou o envio de uploads como anexos de e-mail. Aproximadamente 436.400 instâncias foram identificadas globalmente.

O módulo Webform não restringe adequadamente o acesso ao editor YAML de atributos personalizados. Usuários com permissão para criar ou editar webforms, mas sem permissão para editar a fonte do webform, podem adicionar atributos personalizados. Essa falha permite a ocorrência de cross-site scripting (XSS) armazenado, uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo e servidos a outros usuários. Aproximadamente 436.300 instâncias foram identificadas globalmente.

A sanitização insuficiente de tooltips e textos de ajuda no módulo Webform permite a ocorrência de cross-site scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis. A exploração requer que o invasor possua permissões para criar ou editar a configuração ou o conteúdo do Webform afetado. Aproximadamente 436.300 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

Quando o módulo Webform é utilizado com o JSON:API habilitado, as submissões podem ser armazenadas em cache sem a variação correta por usuário autenticado. Isso ocorre quando um formulário web é configurado para permitir que usuários autenticados visualizem suas próprias submissões, podendo fazer com que uma requisição ao endpoint de coleção de submissões do JSON:API retorne uma resposta em cache gerada para um usuário diferente. Consequentemente, um usuário autenticado pode visualizar dados de submissão de outro usuário. Aproximadamente 436.300 instâncias de Drupal foram identificadas globalmente como potencialmente expostas. Este problema requer que o JSON:API esteja habilitado, que o formulário web afetado exponha submissões através do JSON:API e que o atacante possua uma conta com permissões para visualizar suas próprias submissões.

Um problema de autorização incorreta no submódulo Webform Submission Export/Import permite a ocorrência de Server Side Request Forgery (SSRF), uma condição na qual um invasor pode induzir o servidor a fazer requisições para um local não pretendido. O submódulo não valida adequadamente o acesso às funcionalidades de exportação e importação. Consequentemente, um usuário com permissões para editar envios de webforms e acessar resultados de webforms pode acessar a interface de importação, incluindo o caminho de importação de URL remota.

Ocorre Cross-Site Scripting (XSS) Armazenado quando o módulo não restringe suficientemente o acesso à edição da fonte bruta do webform enquanto o módulo Webform UI está desativado. Isso permite que um usuário com permissões para criar ou editar webforms insira configurações de fonte que são renderizadas de forma insegura. XSS Armazenado é uma falha de segurança onde um script malicioso é armazenado permanentemente no servidor alvo e executado no navegador dos usuários que visualizam a página afetada.

A granularidade insuficiente do controle de acesso no módulo Webform permite a navegação forçada. O módulo não restringe suficientemente o acesso à configuração de manipuladores de Operações HTTP Remotas, o que pode permitir que um usuário com permissão para editar um webform configure uma operação HTTP remota.

Um problema de autorização incorreta permite a navegação forçada ao servir exportações de envios geradas. O módulo não valida adequadamente os nomes de arquivos solicitados, o que pode permitir que um usuário com permissão para visualizar resultados de envio de um formulário web acesse ou remova arquivos do diretório temporário de exportação configurado que não foram gerados para aquele formulário específico. Isso requer que o invasor tenha permissão para visualizar os resultados do envio e conheça o nome do arquivo alvo.