James Gilliland

**Nome do Software Vulnerável e Versões Afetadas** Drupal core versões 0.0.0 até 10.6.13 Drupal core versões 11.3.0 até 11.3.14 Drupal core versões 11.4.0 até 11.4.4 Drupal core versões 0.0.0 até 11.0.x Drupal core versões 0.0.0 até 11.1.x Drupal core versões 0.0.0 até 11.2.x **Description** Ocorre Cross-site Scripting (XSS) Armazenado porque o módulo Layout Builder não sanitiza adequadamente os rótulos dos blocos em certos cenários. Isso permite que um invasor injete scripts maliciosos que são armazenados e posteriormente executados no navegador de outro usuário. A exploração requer que tanto o invasor quanto o usuário visado estejam utilizando a interface de edição do Layout Builder. **Recommendations** Atualize as versões do Drupal core 0.0.0 até 10.6.13 para uma versão posterior à 10.6.13. Atualize as versões do Drupal core 11.3.0 até 11.3.14 para uma versão posterior à 11.3.14. Atualize as versões do Drupal core 11.4.0 até 11.4.4 para uma versão posterior à 11.4.4. Atualize as versões do Drupal core 0.0.0 até 11.0.x para uma versão posterior à 11.0.x. Atualize as versões do Drupal core 0.0.0 até 11.1.x para uma versão posterior à 11.1.x. Atualize as versões do Drupal core 0.0.0 até 11.2.x para uma versão posterior à 11.2.x.

**Nome do Software Vulnerável e Versões Afetadas** Drupal core (versões afetadas não especificadas) **Descrição** O controlador frontal `rebuild.php`, utilizado para limpar caches e reconstruir o container quando um site está em uma condição inesperada, não valida corretamente o cabeçalho Host em relação aos padrões de hosts confiáveis. Esta falha pode levar ao envenenamento de cache (cache poisoning), onde o cache é preenchido com uma resposta maliciosa, ou a um redirecionamento aberto, que envia usuários para um domínio controlado por um invasor. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal core (versões afetadas não especificadas) **Description** O módulo Media oferece suporte ao oEmbed, que utiliza dois mecanismos de descoberta: `providers.json` e descoberta via URL. O código de descoberta de URL pode ser explorado para enganar o sistema, fazendo com que ele realize requisições do lado do servidor para qualquer URL arbitrária. Trata-se de um Server-Side Request Forgery (SSRF), uma falha onde um invasor pode forçar um servidor a enviar requisições para um local não pretendido. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Drupal versões anteriores a 10.5.9 Drupal versões anteriores a 10.6.7 Drupal versões anteriores a 11.2.11 Drupal versões anteriores a 11.3.7 **Description** A integração do jQuery do Drupal core para caixas de diálogo modal AJAX não sanitiza adequadamente certas opções, o que pode levar a uma vulnerabilidade de cross-site scripting (XSS), uma falha onde scripts maliciosos são injetados em sites confiáveis. **Recommendations** Atualizar para a versão 10.5.9 Atualizar para a versão 10.6.7 Atualizar para a versão 11.2.11 Atualizar para a versão 11.3.7

**Nome do Software Vulnerável e Versões Afetadas** Versões do Drupal 8.0.0 até 10.4.9 Versões do Drupal 10.5.0 até 10.5.6 Versões do Drupal 11.0.0 até 11.1.9 Versões do Drupal 11.2.0 até 11.2.8 **Descrição** Existe uma falha no núcleo do Drupal relacionada ao uso de um cache do navegador web que pode conter informações sensíveis. Isso ocorre devido a níveis de segurança de controle de acesso configurados incorretamente. **Recomendações** Atualize o núcleo do Drupal para a versão 10.4.9 ou posterior. Atualize o núcleo do Drupal para a versão 10.5.6 ou posterior. Atualize o núcleo do Drupal para a versão 11.1.9 ou posterior. Atualize o núcleo do Drupal para a versão 11.2.8 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Ignition Error Pages versões 0.0.0 a 1.0.3 **Descrição** O problema está relacionado à Neutralização Imprópria de Entrada Durante a Geração de Página Web, também conhecida como Cross-site Scripting (XSS), no Drupal Ignition Error Pages. Isso possibilita ataques de Cross-Site Scripting (XSS). **Recomendações** Para as versões 0.0.0 a 1.0.3 do Ignition Error Pages, atualize para a versão 1.0.4 ou posterior para resolver o problema.