Joshua Sedler

Uma falha de autorização permite a navegação forçada (forceful browsing) através de uma rota utilizada para exibir entidades de conteúdo publicadas em um diálogo. O sistema não verifica adequadamente se o usuário atual possui acesso à entidade específica solicitada. O problema é parcialmente mitigado pelo fato de que apenas a saída renderizada é retornada e os controles de acesso ao nível de campo ainda são aplicados.

Ocorre Cross-site Scripting (XSS) Armazenado porque o texto inserido pelo usuário é utilizado como parte de um slide sem a filtragem adequada. Este problema requer que o invasor possua uma função com permissões para editar a legenda.

Ocorre Cross-site Scripting (XSS) Armazenado porque o módulo não sanitiza adequadamente os atributos aplicados aos elementos de container de links de menu. Este problema exige que um invasor possua as permissões "Administer menus and menu links" e "Use menu link attributes". Além disso, um atributo de container inseguro deve ter sido previamente configurado por um usuário com a permissão "Administer menu link attributes". A configuração padrão não é afetada.

A modificação inadequadamente controlada de atributos de objeto determinados dinamicamente no módulo Block AJAX permite a Injeção de Objetos. O módulo não valida suficientemente os dados fornecidos pelo usuário usados para construir um bloco, o que pode levar à Injeção de Objetos PHP e Execução Remota de Código. Este problema afeta especificamente sites que possuem o Layout Builder habilitado ou outros plugins de bloco que manipulem os dados passados por este módulo de maneira insegura.

Um problema de autorização incorreta na funcionalidade de mesclagem de entidades permite a navegação forçada. O módulo não restringe suficientemente o acesso às operações de gerenciamento de entidades, permitindo que usuários com permissão de visualização de conteúdo excluam nós, termos de taxonomia ou entidades de mídia arbitrários.

Ocorre Cross-site Scripting (XSS) Armazenado porque o módulo não sanitiza adequadamente a entrada fornecida pelo usuário, como as tags alt de imagens, em seu script de legenda dinâmica. Isso permite que um invasor com uma função permitida para inserir conteúdo HTML execute scripts maliciosos. Cross-site Scripting é uma falha onde scripts maliciosos são injetados em sites confiáveis.

Existe um problema de autorização incorreta no módulo utilizado para restringir o acesso às rotas JSON:API com base em funções de usuário. O módulo não aplica controles de acesso suficientes quando uma requisição simula um XMLHttpRequest (um objeto de navegador usado para interagir com páginas sem recarregá-las), permitindo a navegação forçada.

Uma falha de autorização permite a navegação forçada ao visualizar imagens usando o formatador de exibição da galeria de imagens photoswipe. O módulo não verifica adequadamente as permissões de acesso, o que pode permitir que usuários não autorizados visualizem imagens que deveriam estar restritas.

A functionality bypass exists in Drupal CAPTCHA due to insufficient invalidation of security tokens. An attacker may bypass the CAPTCHA on subsequent submissions if they first successfully solve at least one CAPTCHA manually to obtain valid tokens.

Nome do Software Vulnerável e Versões Afetadas: Drupal COOKiES Consent Management versões anteriores à 1.2.16 Descrição: Existe uma vulnerabilidade de Cross-Site Scripting (XSS) no Drupal COOKiES Consent Management. Isso afeta versões que utilizam o submódulo COOKiES Video. Recomendações: Atualize para a versão 1.2.16.

O problema afeta o módulo COOKiES Consent Management, permitindo Cross-Site Scripting (XSS) devido à neutralização inadequada de entrada durante a geração da página web.

O problema está relacionado à Neutralização Imprópria de Entrada Durante a Geração de Páginas Web, também conhecida como Cross-site Scripting (XSS), no filtro Drupal SpamSpan. Isso permite ataques de Cross-Site Scripting (XSS).