Julian Pustkuchen

Um problema de autorização incorreta permite a navegação forçada quando o Drupal Commerce é utilizado em conjunto com o módulo JSON:API. Isso permite que usuários sem as permissões adequadas acessem variações de produtos não publicados. Este problema afeta especificamente sites que mantêm produtos publicados e variações de produtos não publicados.

Ocorre Cross-site Scripting (XSS) Armazenado porque o texto inserido pelo usuário é utilizado como parte de um slide sem a filtragem adequada. Este problema requer que o invasor possua uma função com permissões para editar a legenda.

Uma falha de autorização permite a navegação forçada (forceful browsing) através de uma rota utilizada para exibir entidades de conteúdo publicadas em um diálogo. O sistema não verifica adequadamente se o usuário atual possui acesso à entidade específica solicitada. O problema é parcialmente mitigado pelo fato de que apenas a saída renderizada é retornada e os controles de acesso ao nível de campo ainda são aplicados.

A modificação inadequadamente controlada de atributos de objeto determinados dinamicamente no módulo Block AJAX permite a Injeção de Objetos. O módulo não valida suficientemente os dados fornecidos pelo usuário usados para construir um bloco, o que pode levar à Injeção de Objetos PHP e Execução Remota de Código. Este problema afeta especificamente sites que possuem o Layout Builder habilitado ou outros plugins de bloco que manipulem os dados passados por este módulo de maneira insegura.

Existe um problema de autorização incorreta no módulo utilizado para restringir o acesso às rotas JSON:API com base em funções de usuário. O módulo não aplica controles de acesso suficientes quando uma requisição simula um XMLHttpRequest (um objeto de navegador usado para interagir com páginas sem recarregá-las), permitindo a navegação forçada.

Ocorre cross-site scripting (XSS) armazenado porque o módulo não sanitiza adequadamente os títulos das abas. Isso permite que um invasor insira HTML com atributos específicos em uma página que exibe um navegador de entidades. Cross-site scripting é uma falha onde scripts maliciosos são injetados em sites confiáveis.

Uma falha de autorização permite a navegação forçada ao visualizar imagens usando o formatador de exibição da galeria de imagens photoswipe. O módulo não verifica adequadamente as permissões de acesso, o que pode permitir que usuários não autorizados visualizem imagens que deveriam estar restritas.

O problema está relacionado à Neutralização Imprópria de Entrada Durante a Geração de Página Web, também conhecida como Cross-site Scripting (XSS). Isso permite que um atacante execute ataques de Cross-Site Scripting (XSS).

O problema afeta o módulo COOKiES Consent Management, permitindo Cross-Site Scripting (XSS) devido à neutralização inadequada de entrada durante a geração da página web.

O problema está relacionado à Neutralização Imprópria de Entrada Durante a Geração de Páginas Web, também conhecida como Cross-site Scripting (XSS), no filtro Drupal SpamSpan. Isso permite ataques de Cross-Site Scripting (XSS).