Joãl Pittet

Uma falha de autorização incorreta permite a navegação forçada (Forceful Browsing). O módulo não aplica corretamente o controle de acesso ao renderizar abas de nós e blocos, tratando resultados de acesso neutros como permissões concedidas para abas de nós e plugins de blocos. Além disso, nenhuma verificação de acesso é realizada para blocos personalizados reutilizáveis. Isso permite que usuários sem as permissões adequadas visualizem conteúdo restrito, como nós não publicados ou blocos personalizados reutilizáveis não publicados. O risco é mitigado pelo fato de que o conteúdo exposto é selecionado por um usuário com a permissão `administer quicktabs` durante a configuração.

Uma falha de autorização no módulo Date iCal, que exporta campos de data de entidades como feeds iCal, permite a navegação forçada (forceful browsing). O módulo não verifica adequadamente o acesso à entidade ou ao campo e não sanitiza corretamente as entradas do usuário durante a geração de feeds iCal. Essas rotas estão acessíveis a todos os usuários anônimos sem a necessidade de configuração.