Juraj Nemec

Authentication Bypass Using an Alternate Path or Channel vulnerability in Drupal DocCheck Basic allows Authentication Bypass. This issue affects DocCheck Basic versions: 7.x.

O Single Content Sync permite a exportação e importação de conteúdo, entidades referenciadas e arquivos entre sites Drupal. Um arquivo de importação maliciosamente criado pode causar a desserialização de dados não confiáveis, levando potencialmente à execução remota de código via Injeção de Objeto. Este problema requer que o invasor possua uma função com a permissão "import single content".

Um problema de autorização incorreta permite a navegação forçada quando o Drupal Commerce é utilizado em conjunto com o módulo JSON:API. Isso permite que usuários sem as permissões adequadas acessem variações de produtos não publicados. Este problema afeta especificamente sites que mantêm produtos publicados e variações de produtos não publicados.

Este módulo fornece uma estrutura para integrar provedores e recursos de IA no Drupal. O problema ocorre porque o módulo não sanitiza adequadamente certos atributos HTMX, levando ao Cross-Site Scripting (XSS), onde scripts maliciosos podem ser injetados em páginas da web.

Existe um problema de autorização incorreta no módulo utilizado para organizar produtos tangíveis em remessas para cumprimento. O sistema não verifica adequadamente as permissões de acesso no formulário utilizado para reenviar recibos. Sob configurações específicas, isso permite que usuários não autorizados realizem a navegação forçada para acessar recibos e informações confidenciais de clientes de pedidos que não deveriam visualizar.

O Single Content Sync permite a exportação e importação de conteúdo, entidades referenciadas e arquivos entre sites Drupal. O módulo não valida adequadamente as fontes e destinos de arquivos durante as importações de conteúdo, resultando em Path Traversal. Isso permite que um invasor grave arquivos arbitrários, exponha arquivos locais sensíveis acessíveis ao servidor web ou faça com que o servidor realize requisições a recursos internos ou externos. Dependendo da configuração do servidor, isso pode levar à execução remota de código. A exploração requer a permissão *import single content*.

Uma autorização incorreta no módulo AI permite a injeção de recursos. O módulo não valida links adequadamente sob certas condições, o que pode permitir a exfiltração de informações sensíveis para sites externos. Isso ocorre quando um invasor utiliza fontes não confiáveis ao interagir com o módulo de forma a produzir HTML renderizado.

Um problema no submódulo AI Chatbot ocorre quando a entrada do usuário não é filtrada adequadamente antes de ser renderizada em uma página web, levando ao Cross-Site Scripting (XSS). Isso ocorre sob certas configurações e exige que o invasor tenha permissões para administrar blocos.

Níveis de controle de acesso configurados incorretamente no submódulo AI Search permitem que o cache do navegador web contenha informações sensíveis. Embora o backend do AI Search verifique o acesso para cada resultado de pesquisa, essa verificação é ignorada quando o Search API armazena em cache os resultados de uma view. Consequentemente, usuários podem visualizar resultados de pesquisa em cache, como títulos e campos de conteúdo não publicado ou restrito, caso um usuário com permissões adequadas tenha realizado a mesma pesquisa dentro do tempo de vida do cache. Isso ocorre quando o submódulo AI Search está habilitado e uma view do Search API utiliza cache de resultados baseado em tempo, tags ou ambos.

O armazenamento inseguro de informações sensíveis ocorre quando arquivos de áudio para solicitações de fala-para-texto são gravados em um único arquivo no diretório temporário e não são excluídos após o processamento. Isso permite que um invasor com acesso de leitura ao diretório temporário do site—potencialmente via hospedagem compartilhada ou outro código que exponha arquivos temporários—recupere dados de áudio enviados por outros usuários para transcrição.

Existe uma falha de bypass de autenticação no módulo que permite a autenticação via protocolo OpenID Connect (oAuth2). Quando um novo usuário faz login, o módulo tenta vincular o usuário a uma conta existente com o mesmo endereço de e-mail. Isso permite assumir o controle de qualquer conta Drupal existente, exceto o usuário 1, desde que a conta ainda não tenha sido vinculada a um usuário OpenID Connect. Este problema é mitigado pelo fato de que o site deve estar configurado para usar um provedor que não verifique o endereço de e-mail do usuário.

Um problema de autorização incorreta permite a navegação forçada (forceful browsing) no módulo utilizado para organizar produtos tangíveis em remessas para cumprimento. O módulo não protege adequadamente as referências de remessa e os campos de entidade de remessa, levando a um bypass de acesso. Isso pode resultar na modificação inadequada de estados de remessa ou na exclusão de remessas. A exploração requer que o invasor possua um carrinho com acesso baseado em API para manipular as remessas.

Um problema de Cross-Site Request Forgery (CSRF) existe no módulo utilizado para integração com a API Stripe Connect. Ao redirecionar para o Stripe Connect para gerar um código de autorização, o módulo não inclui um token CSRF na URI de retorno. Isso permite que um invasor engane um administrador para clicar em um link que ignora o processo de pagamento, resultando em pedidos marcados como pagos sem que o pagamento real tenha sido processado.

A verificação inadequada de assinaturas criptográficas no módulo permite a falsificação de assinatura (signature spoofing). O problema ocorre quando um segredo de assinatura não é configurado corretamente nas definições do gateway de pagamento, resultando em uma verificação insuficiente das assinaturas de eventos de webhook. Webhooks são mensagens automatizadas enviadas do Stripe para a aplicação para notificá-la sobre eventos, como pagamentos bem-sucedidos.

Ocorre Cross-site Scripting (XSS) Armazenado devido à neutralização inadequada de entrada durante a geração de páginas web. O submódulo AI Automator, que permite o preenchimento automático de campos com base em outros campos, não verifica adequadamente o acesso aos formatos de texto. Isso permite que usuários criem dados de campo em formatos de texto aos quais não deveriam ter acesso.

Uma falha de autorização ausente permite a navegação forçada e a evasão de controle de acesso. A falha decorre da proteção insuficiente de rotas e campos de entidade, permitindo que invasores não autenticados executem ações privilegiadas, manipulem pedidos e acessem dados de pagamento de clientes ou informações de identificação pessoal (PII). Este problema afeta o carrinho de compras, o checkout e a funcionalidade de API. Estima-se que mais de 42.000 implantações sejam afetadas. Existem confirmações de exploração ativa, incluindo instâncias de pedidos fraudulentos em sites reais.

Um problema de autorização incorreta permite a navegação forçada. O módulo não verifica adequadamente o acesso à relação entre promoções e cupons. Consequentemente, um usuário autorizado apenas a gerenciar suas próprias promoções pode modificar ou excluir cupons associados a outras promoções. Este problema é mitigado se o site não permitir gravações via JSON:API ou REST, que vêm desativados por padrão.

A neutralização inadequada de entrada durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo não restringe suficientemente a renderização de HTML, permitindo a execução de scripts maliciosos sob certas condições. Este problema é mitigado pelo fato de que um invasor deve ter acesso a um formato de texto que possa renderizar HTML.

A neutralização inadequada de entradas durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo não valida suficientemente links Markdown sob certas condições, o que pode levar à execução de scripts maliciosos no navegador do usuário.

Existe um problema de segurança no projeto Drupal CacheFlush. O projeto está atualmente marcado como não suportado e o problema permanece não resolvido pelo mantenedor.