Klaus Purer

**Nome do Software Vulnerável e Versões Afetadas** Entity API versões 0.0.0 a 1.8.0 **Description** Uma falha de autorização incorreta no Entity API permite a navegação forçada (forceful browsing). O módulo não aplica corretamente os controles de acesso para os endpoints de coleção de entidades do JSON:API, resultando em uma vulnerabilidade de divulgação de informações. Este problema ocorre quando o módulo JSON:API está habilitado em conjunto com o módulo Entity API. **Recommendations** Atualize o Entity API para uma versão posterior à 1.8.0. Como medida de mitigação temporária, desabilite o módulo JSON:API para evitar a exploração dos endpoints de coleção de entidades.

**Nome do software vulnerável e versões afetadas** Drupal Coffee, versões 0.0.0 a 1.4.0 **Descrição** O problema está relacionado à neutralização inadequada de entradas durante a geração de páginas da web, o que permite a execução de scripts entre sites (Cross-Site Scripting, XSS). Isso pode ser explorado por um invasor remoto para realizar um ataque de XSS. **Recomendações** Para as versões 0.0.0 a 1.4.0, atualize para a versão 1.4.0 ou posterior para resolver o problema. Como solução temporária, considere restringir a entrada de dados do usuário para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Drupal (versões afetadas não especificadas) **Descrição** O problema diz respeito aos módulos JSON:API e REST/File do Drupal, que permitem o envio de arquivos por meio de suas APIs HTTP. No entanto, esses módulos não executam corretamente todas as validações de arquivos, o que leva a uma falha de contorno de acesso. Um invasor poderia, potencialmente, enviar arquivos que contornassem o processo de validação implementado por outros módulos no site. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Scald module versions 6.x-1.x before 6.x-1.0-beta3 Scald module versions 7.x-1.x before 7.x-1.1 **Description** A cross-site scripting (XSS) issue exists in the Resource Manager of the MEE submodule in the Scald module for Drupal, allowing remote attackers to inject arbitrary web script or HTML via the `atom title`. **Recommendations** For Scald module version 6.x-1.x, update to version 6.x-1.0-beta3 or later. For Scald module version 7.x-1.x, update to version 7.x-1.1 or later.

**Name of the Vulnerable Software and Affected Versions** Drupal versions 6.x-3.x through 7.x-3.x before 7.x-3.4 **Description** A cross-site request forgery (CSRF) issue exists, allowing remote attackers to hijack the authentication of victims via unknown vectors. **Recommendations** For versions 6.x-3.x through 7.x-3.x before 7.x-3.4, update to version 7.x-3.4 or later to resolve the issue.