Joseph Olstad

**Nome do Software Vulnerável e Versões Afetadas** O nome do produto não pôde ser determinado (versões afetadas não especificadas) **Descrição** Dois problemas distintos foram identificados. Primeiro, um módulo projetado para restringir o acesso ao endpoint `/user/login` por meio de uma chave secreta não invalida os caches relevantes ao ser ativado. Isso permite que atacantes acessem a página de login por meio de respostas em cache. Segundo, um módulo que expõe dados estruturados via endpoints JSON não verifica suficientemente as permissões de acesso. Isso permite que usuários anônimos recuperem valores de campos de entidades que não têm autorização para visualizar, como conteúdo não publicado. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Address Suggestion versões 0.0.0 a 1.0.25 **Description** A neutralização inadequada de entrada durante a geração de páginas web permite a ocorrência de Cross-Site Scripting (XSS). O módulo Address Suggestion, que fornece a funcionalidade de preenchimento automático de endereços por meio de provedores configurados, não sanitiza adequadamente os dados retornados por esses provedores. A exploração requer que um invasor injete conteúdo malicioso nos dados retornados por um provedor de endereços configurado e que um usuário realize uma pesquisa que retorne a sugestão maliciosa. **Recommendations** Atualize o Drupal Address Suggestion para uma versão posterior à 1.0.25.

Nome do Software Vulnerável e Versões Afetadas: Drupal Paragraphs table versões 2.0.0 a 2.0.4 Descrição: O problema está relacionado à Neutralização Imprópria de Entrada Durante a Geração de Página Web, também conhecida como Cross-Site Scripting (XSS), no Drupal Paragraphs table. Isso permite ataques de Cross-Site Scripting (XSS). Recomendações: Para as versões 2.0.0 a 2.0.4, atualize para a versão 2.0.5 ou posterior para corrigir o problema.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Bootstrap Site Alert versões 0.0.0 até 1.12.0 Drupal Bootstrap Site Alert versões 3.0.0 até 3.0.3 **Descrição** O problema afeta o Drupal Bootstrap Site Alert, permitindo Cross-Site Scripting (XSS) devido à neutralização inadequada de entrada durante a geração de páginas web. Isso permite que atacantes injetem scripts maliciosos em páginas web. **Recomendações** Para as versões 0.0.0 até 1.12.0, atualize para a versão 1.13.0 ou posterior. Para as versões 3.0.0 até 3.0.3, atualize para a versão 3.0.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do File Entity 7.X-* até 7.X-2.38 **Descrição** O problema está relacionado à neutralização inadequada de entrada durante a geração de páginas web, permitindo ataques de Cross-Site Scripting (XSS). Isso pode permitir que um atacante remoto contorne restrições de segurança e execute ataques de Cross-Site Scripting. **Recomendações** Para as versões 7.X-* até 7.X-2.38, atualize para uma versão superior à 7.X-2.38 para resolver o problema. Como solução temporária, considere restringir o acesso ao módulo File Entity para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do File Entity 7.X-* anteriores à 7.X-2.39 **Descrição** A vulnerabilidade permite a inserção de informações confidenciais nos dados enviados, possibilitando a navegação forçada. Isso pode levar à divulgação de informações protegidas. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi especificado. Não há informações disponíveis sobre incidentes reais em que essa vulnerabilidade tenha sido explorada. Os detalhes técnicos sobre a exploração incluem a possibilidade de um invasor revelar informações confidenciais. **Recomendações** Para as versões 7.X-* anteriores à 7.X-2.39, atualize para a versão 7.X-2.39 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a informações confidenciais no módulo File Entity até que um patch seja aplicado. Evite usar o módulo File Entity para transmissão de dados confidenciais até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Tabela Paragraphs do Drupal, versões 0.0.0 a 1.22.0 Tabela Paragraphs do Drupal, versões 2.0.0 a 2.0.1 **Descrição** O problema está relacionado à granularidade insuficiente do controle de acesso na tabela Drupal Paragraphs, o que permite a falsificação de conteúdo. Isso pode ser explorado por um invasor remoto para contornar restrições de segurança e obter acesso não autorizado a informações protegidas. **Recomendações** Para as versões da tabela Drupal Paragraphs de 0.0.0 a 1.22.0, atualize para a versão 1.23.0 ou posterior. Para as versões da tabela Drupal Paragraphs de 2.0.0 a 2.0.1, atualize para a versão 2.0.2 ou posterior.