Joe Corall

Uma falha de autorização permite a navegação forçada (Forceful Browsing). O módulo não verifica adequadamente o acesso ao bloco quando IDs de blocos arbitrários são enviados para seu endpoint AJAX publicamente acessível. Isso permite que um invasor não autenticado recupere conteúdo de blocos restritos, desde que consiga identificar o ID da máquina de um bloco que contenha informações sensíveis protegidas por restrições de visibilidade.

O submódulo `islandora advanced search` não verifica adequadamente o acesso ao bloco quando IDs de bloco arbitrários são enviados para seu endpoint AJAX acessível publicamente. Essa falha permite que um invasor não autenticado realize a navegação forçada para recuperar conteúdo de blocos restritos, desde que consiga identificar o ID da máquina de um bloco que contenha informações sensíveis protegidas por restrições de visibilidade.

A flaw exists in Drupal Islandora that allows for Cross-Site Scripting (XSS). The issue stems from insufficient sanitization of URI paths used in a custom route for attaching media to nodes. Exploitation requires an attacker to have the 'create media' permission and the ability to edit the node to which the media is attached. Islandora is an open-source digital asset management (DAM) framework that integrates with various open-source services in a distributed environment. The vulnerable component doesn't properly sanitize input during web page generation.