Jonathan Sacksick

Uma falha de autorização ausente permite a navegação forçada e a evasão de controle de acesso. A falha decorre da proteção insuficiente de rotas e campos de entidade, permitindo que invasores não autenticados executem ações privilegiadas, manipulem pedidos e acessem dados de pagamento de clientes ou informações de identificação pessoal (PII). Este problema afeta o carrinho de compras, o checkout e a funcionalidade de API. Estima-se que mais de 42.000 implantações sejam afetadas. Existem confirmações de exploração ativa, incluindo instâncias de pedidos fraudulentos em sites reais.

Um problema de autorização incorreta permite a navegação forçada quando o Drupal Commerce é utilizado em conjunto com o módulo JSON:API. Isso permite que usuários sem as permissões adequadas acessem variações de produtos não publicados. Este problema afeta especificamente sites que mantêm produtos publicados e variações de produtos não publicados.

Um problema de autorização incorreta permite a navegação forçada. O módulo não verifica adequadamente o acesso à relação entre promoções e cupons. Consequentemente, um usuário autorizado apenas a gerenciar suas próprias promoções pode modificar ou excluir cupons associados a outras promoções. Este problema é mitigado se o site não permitir gravações via JSON:API ou REST, que vêm desativados por padrão.

Uma falha de autorização incorreta permite a navegação forçada quando uma loja é salva. O sistema não verifica as permissões de acesso adequadamente, permitindo que um usuário com a capacidade de criar lojas ou editar sua própria loja a marque como a loja padrão do site. Isso faz com que o usuário receba pedidos aos quais normalmente não deveria ter acesso. Este problema afeta principalmente sites que concedem essas permissões a usuários não confiáveis, como sites de marketplace onde os vendedores gerenciam suas próprias lojas.

O Cross-Site Request Forgery (CSRF) ocorre quando um usuário é enganado para realizar uma ação que não pretendia. Neste caso, as rotas para a caixa de entrada não verificam tokens CSRF. Um invasor pode enganar um usuário com a permissão "access commerce administration pages" para visitar uma página maliciosa que descarta as notificações. Como a caixa de entrada é compartilhada, essa ação oculta as mensagens, incluindo avisos de atualizações de segurança, para todos os administradores.

Existe um problema onde o módulo não restringe suficientemente as variações de produtos retornadas por consultas de entidade àquelas que o usuário atual tem permissão para visualizar. Quando o módulo core JSON:API está habilitado, um invasor pode realizar a navegação forçada fazendo requisições repetidas para determinar valores de campos de variações de produtos não publicados ou variações de produtos não publicados.

Um problema de autorização incorreta permite a navegação forçada. O módulo não restringe suficientemente o acesso aos campos de licença para usuários com a permissão `update own commerce license`. Consequentemente, o proprietário de uma licença pode alterar o estado da licença e os direitos concedidos por ela, o que pode resultar em escalada de privilégios até a função de Administrador.

Um problema de autorização incorreta permite a navegação forçada (forceful browsing) no módulo utilizado para organizar produtos tangíveis em remessas para cumprimento. O módulo não protege adequadamente as referências de remessa e os campos de entidade de remessa, levando a um bypass de acesso. Isso pode resultar na modificação inadequada de estados de remessa ou na exclusão de remessas. A exploração requer que o invasor possua um carrinho com acesso baseado em API para manipular as remessas.

Existe um problema de autorização incorreta no módulo utilizado para organizar produtos tangíveis em remessas para cumprimento. O sistema não verifica adequadamente as permissões de acesso no formulário utilizado para reenviar recibos. Sob configurações específicas, isso permite que usuários não autorizados realizem a navegação forçada para acessar recibos e informações confidenciais de clientes de pedidos que não deveriam visualizar.

Um problema de Cross-Site Request Forgery (CSRF) existe no módulo utilizado para integração com a API Stripe Connect. Ao redirecionar para o Stripe Connect para gerar um código de autorização, o módulo não inclui um token CSRF na URI de retorno. Isso permite que um invasor engane um administrador para clicar em um link que ignora o processo de pagamento, resultando em pedidos marcados como pagos sem que o pagamento real tenha sido processado.

A neutralização inadequada de entrada durante a geração de páginas web permite Cross-Site Scripting (XSS). Este problema ocorre quando o módulo é utilizado para configurar a loja através da API Stripe Connect. A exploração requer que o atacante possua permissões de administrador para configurar gateways de pagamento e o comprometimento simultâneo de um serviço externo.

Um problema de autorização incorreta permite a navegação forçada (Forceful Browsing). O módulo não valida adequadamente os resultados das transações ao utilizar o gateway de pagamento Payflow Link, permitindo que um usuário mal-intencionado marque transações como concluídas sem realizar o pagamento.

Ocorre Cross-site Scripting (XSS) Armazenado devido à neutralização inadequada de entrada durante a geração de páginas web. O módulo não sanitiza adequadamente os comentários do cliente no modelo de e-mail de recibo do pedido. Este problema afeta especificamente instalações onde o módulo `commerce checkout` está habilitado e o painel de checkout `customer comments` é explicitamente utilizado, visto que este painel é desabilitado por padrão.