Jess

O Single Content Sync permite a exportação e importação de conteúdo, entidades referenciadas e arquivos entre sites Drupal. O módulo não valida adequadamente as fontes e destinos de arquivos durante as importações de conteúdo, resultando em Path Traversal. Isso permite que um invasor grave arquivos arbitrários, exponha arquivos locais sensíveis acessíveis ao servidor web ou faça com que o servidor realize requisições a recursos internos ou externos. Dependendo da configuração do servidor, isso pode levar à execução remota de código. A exploração requer a permissão *import single content*.

Um problema de autorização incorreta permite a navegação forçada. O módulo não restringe suficientemente o acesso aos campos de licença para usuários com a permissão `update own commerce license`. Consequentemente, o proprietário de uma licença pode alterar o estado da licença e os direitos concedidos por ela, o que pode resultar em escalada de privilégios até a função de Administrador.

Um problema de Cross-Site Request Forgery (CSRF) existe no módulo utilizado para integração com a API Stripe Connect. Ao redirecionar para o Stripe Connect para gerar um código de autorização, o módulo não inclui um token CSRF na URI de retorno. Isso permite que um invasor engane um administrador para clicar em um link que ignora o processo de pagamento, resultando em pedidos marcados como pagos sem que o pagamento real tenha sido processado.

A verificação inadequada de assinaturas criptográficas no módulo permite a falsificação de assinatura (signature spoofing). O problema ocorre quando um segredo de assinatura não é configurado corretamente nas definições do gateway de pagamento, resultando em uma verificação insuficiente das assinaturas de eventos de webhook. Webhooks são mensagens automatizadas enviadas do Stripe para a aplicação para notificá-la sobre eventos, como pagamentos bem-sucedidos.

O armazenamento inseguro de informações sensíveis ocorre quando arquivos de áudio para solicitações de fala-para-texto são gravados em um único arquivo no diretório temporário e não são excluídos após o processamento. Isso permite que um invasor com acesso de leitura ao diretório temporário do site—potencialmente via hospedagem compartilhada ou outro código que exponha arquivos temporários—recupere dados de áudio enviados por outros usuários para transcrição.

Ocorre Cross-site Scripting (XSS) Armazenado devido à neutralização inadequada de entrada durante a geração de páginas web. O submódulo AI Automator, que permite o preenchimento automático de campos com base em outros campos, não verifica adequadamente o acesso aos formatos de texto. Isso permite que usuários criem dados de campo em formatos de texto aos quais não deveriam ter acesso.

A neutralização inadequada de entradas durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo não valida suficientemente links Markdown sob certas condições, o que pode levar à execução de scripts maliciosos no navegador do usuário.

Existe um problema de autorização incorreta no módulo utilizado para organizar produtos tangíveis em remessas para cumprimento. O sistema não verifica adequadamente as permissões de acesso no formulário utilizado para reenviar recibos. Sob configurações específicas, isso permite que usuários não autorizados realizem a navegação forçada para acessar recibos e informações confidenciais de clientes de pedidos que não deveriam visualizar.

Uma autorização incorreta no módulo AI permite a injeção de recursos. O módulo não valida links adequadamente sob certas condições, o que pode permitir a exfiltração de informações sensíveis para sites externos. Isso ocorre quando um invasor utiliza fontes não confiáveis ao interagir com o módulo de forma a produzir HTML renderizado.

Um problema no submódulo AI Chatbot ocorre quando a entrada do usuário não é filtrada adequadamente antes de ser renderizada em uma página web, levando ao Cross-Site Scripting (XSS). Isso ocorre sob certas configurações e exige que o invasor tenha permissões para administrar blocos.

Um problema de autorização incorreta permite a navegação forçada quando o Drupal Commerce é utilizado em conjunto com o módulo JSON:API. Isso permite que usuários sem as permissões adequadas acessem variações de produtos não publicados. Este problema afeta especificamente sites que mantêm produtos publicados e variações de produtos não publicados.

A neutralização inadequada de entrada durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo não restringe suficientemente a renderização de HTML, permitindo a execução de scripts maliciosos sob certas condições. Este problema é mitigado pelo fato de que um invasor deve ter acesso a um formato de texto que possa renderizar HTML.

Existe um problema onde o módulo não restringe suficientemente as variações de produtos retornadas por consultas de entidade àquelas que o usuário atual tem permissão para visualizar. Quando o módulo core JSON:API está habilitado, um invasor pode realizar a navegação forçada fazendo requisições repetidas para determinar valores de campos de variações de produtos não publicados ou variações de produtos não publicados.

Este módulo fornece uma estrutura para integrar provedores e recursos de IA no Drupal. O problema ocorre porque o módulo não sanitiza adequadamente certos atributos HTMX, levando ao Cross-Site Scripting (XSS), onde scripts maliciosos podem ser injetados em páginas da web.

Uma falha de autorização ausente permite a navegação forçada e a evasão de controle de acesso. A falha decorre da proteção insuficiente de rotas e campos de entidade, permitindo que invasores não autenticados executem ações privilegiadas, manipulem pedidos e acessem dados de pagamento de clientes ou informações de identificação pessoal (PII). Este problema afeta o carrinho de compras, o checkout e a funcionalidade de API. Estima-se que mais de 42.000 implantações sejam afetadas. Existem confirmações de exploração ativa, incluindo instâncias de pedidos fraudulentos em sites reais.

O Cross-Site Request Forgery (CSRF) ocorre quando um usuário é enganado para realizar uma ação que não pretendia. Neste caso, as rotas para a caixa de entrada não verificam tokens CSRF. Um invasor pode enganar um usuário com a permissão "access commerce administration pages" para visitar uma página maliciosa que descarta as notificações. Como a caixa de entrada é compartilhada, essa ação oculta as mensagens, incluindo avisos de atualizações de segurança, para todos os administradores.

Uma falha de autorização incorreta permite a navegação forçada quando uma loja é salva. O sistema não verifica as permissões de acesso adequadamente, permitindo que um usuário com a capacidade de criar lojas ou editar sua própria loja a marque como a loja padrão do site. Isso faz com que o usuário receba pedidos aos quais normalmente não deveria ter acesso. Este problema afeta principalmente sites que concedem essas permissões a usuários não confiáveis, como sites de marketplace onde os vendedores gerenciam suas próprias lojas.

Um problema de autorização incorreta permite a navegação forçada (forceful browsing) no módulo utilizado para organizar produtos tangíveis em remessas para cumprimento. O módulo não protege adequadamente as referências de remessa e os campos de entidade de remessa, levando a um bypass de acesso. Isso pode resultar na modificação inadequada de estados de remessa ou na exclusão de remessas. A exploração requer que o invasor possua um carrinho com acesso baseado em API para manipular as remessas.

Um problema de autorização incorreta permite a navegação forçada. O módulo não verifica adequadamente o acesso à relação entre promoções e cupons. Consequentemente, um usuário autorizado apenas a gerenciar suas próprias promoções pode modificar ou excluir cupons associados a outras promoções. Este problema é mitigado se o site não permitir gravações via JSON:API ou REST, que vêm desativados por padrão.

O Single Content Sync permite a exportação e importação de conteúdo, entidades referenciadas e arquivos entre sites Drupal. Um arquivo de importação maliciosamente criado pode causar a desserialização de dados não confiáveis, levando potencialmente à execução remota de código via Injeção de Objeto. Este problema requer que o invasor possua uma função com a permissão "import single content".