Klaus Purer

Uma falha de autorização incorreta no Entity API permite a navegação forçada (forceful browsing). O módulo não aplica corretamente os controles de acesso para os endpoints de coleção de entidades do JSON:API, resultando em uma vulnerabilidade de divulgação de informações. Este problema ocorre quando o módulo JSON:API está habilitado em conjunto com o módulo Entity API.

O problema está relacionado à neutralização inadequada de entradas durante a geração de páginas da web, o que permite a execução de scripts entre sites (Cross-Site Scripting, XSS). Isso pode ser explorado por um invasor remoto para realizar um ataque de XSS.

O problema diz respeito aos módulos JSON:API e REST/File do Drupal, que permitem o envio de arquivos por meio de suas APIs HTTP. No entanto, esses módulos não executam corretamente todas as validações de arquivos, o que leva a uma falha de contorno de acesso. Um invasor poderia, potencialmente, enviar arquivos que contornassem o processo de validação implementado por outros módulos no site.

A cross-site scripting (XSS) issue exists in the Resource Manager of the MEE submodule in the Scald module for Drupal, allowing remote attackers to inject arbitrary web script or HTML via the `atom title`.

A cross-site request forgery (CSRF) issue exists, allowing remote attackers to hijack the authentication of victims via unknown vectors.