Lee Rowlands

Uma falha de autorização ausente permite a navegação forçada e a evasão de controle de acesso. A falha decorre da proteção insuficiente de rotas e campos de entidade, permitindo que invasores não autenticados executem ações privilegiadas, manipulem pedidos e acessem dados de pagamento de clientes ou informações de identificação pessoal (PII). Este problema afeta o carrinho de compras, o checkout e a funcionalidade de API. Estima-se que mais de 42.000 implantações sejam afetadas. Existem confirmações de exploração ativa, incluindo instâncias de pedidos fraudulentos em sites reais.

Um problema de autorização incorreta permite a navegação forçada. O módulo não restringe adequadamente o acesso a campos configurados como Private em tipos de entidade que não possuem um campo de autor (como uma conta de usuário ou proprietário). Consequentemente, esses campos Private podem ser visualizados e, se a entidade for editável, ela pode ser modificada por qualquer usuário que consiga visualizá-la, incluindo usuários anônimos. Este problema não afeta campos definidos como Private em nós, usuários, mídia, comentários ou outros tipos de entidade com autor, nem afeta campos que utilizam permissões personalizadas.

O Single Content Sync permite a exportação e importação de conteúdo, entidades referenciadas e arquivos entre sites Drupal. Um arquivo de importação maliciosamente criado pode causar a desserialização de dados não confiáveis, levando potencialmente à execução remota de código via Injeção de Objeto. Este problema requer que o invasor possua uma função com a permissão "import single content".

Uma autorização incorreta permite a navegação forçada devido à verificação insuficiente de privilégios administrativos ao verificar o acesso a campos protegidos. Isso permite que usuários atribuídos a uma função com o nome de máquina `administrator` (desde que não esteja sinalizada como a função de administrador real do site) ignorem as restrições de acesso ao nível do campo e obtenham acesso não autorizado de visualização e edição a campos protegidos.

Ocorre Cross-site Scripting (XSS) Armazenado porque os templates twig não sanitizam adequadamente os valores passados para sua marcação. Este problema requer que o invasor possua uma função que permita a edição de conteúdo usando os bundles de parágrafos fornecidos pelo módulo.

Existe um problema no módulo Link do Drupal core, que fornece um tipo de campo para URLs internas e externas. O módulo não sanitiza adequadamente certas marcações em algumas circunstâncias, o que pode levar a vulnerabilidades de Cross-Site Scripting (XSS), uma condição em que scripts maliciosos são injetados em sites confiáveis.

Existe um problema de Reflexão Insegura onde entradas controladas externamente podem ser usadas para selecionar classes ou código, levando à Injeção de Reflexão. Esta falha permite a execução remota de código. Embora o problema não seja diretamente explorável usando o módulo isoladamente, existem múltiplos caminhos de exploração graves quando combinado com outros módulos contribuídos, incluindo pelo menos um caminho que não requer autenticação. Códigos personalizados também podem expor essa funcionalidade.

Existe um problema em que o módulo Navigation não sanitiza adequadamente certos atributos, levando ao Cross-Site Scripting (XSS), uma condição onde scripts maliciosos são injetados em sites confiáveis. A exploração requer que o invasor possua uma função com permissão para inserir tags HTML contendo atributos de dados específicos ou a permissão `administer menu`.

Um problema de execução remota de código existe no módulo Field UI (`field ui`) do Drupal core. Embora o problema não seja diretamente explorável apenas com a funcionalidade do core, existem múltiplos caminhos de exploração graves através do uso de módulos contribuídos ou código personalizado. Pelo menos um caminho de exploração conhecido permite a execução remota de código sem autenticação. Aproximadamente 151.000 sites estão potencialmente afetados devido ao uso de ramificações obsoletas do CMS. Esta falha pode ser utilizada para realizar movimentação lateral de servidores web comprometidos para a infraestrutura interna.

Existe um problema onde as regras de acesso específicas do usuário não são suficientemente protegidas contra configurações salvas malformadas. Sob condições específicas do site, uma regra de acesso projetada para restringir o acesso a envios apenas a contas de usuário selecionadas pode, inadvertidamente, conceder acesso a usuários anônimos. Aproximadamente 436.300 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

Ocorre Cross-Site Scripting (XSS) Armazenado quando o módulo não restringe suficientemente o acesso à edição da fonte bruta do webform enquanto o módulo Webform UI está desativado. Isso permite que um usuário com permissões para criar ou editar webforms insira configurações de fonte que são renderizadas de forma insegura. XSS Armazenado é uma falha de segurança onde um script malicioso é armazenado permanentemente no servidor alvo e executado no navegador dos usuários que visualizam a página afetada.

O módulo Webform contém um elemento de classificação que não valida os dados adequadamente. Essa falha pode permitir cross-site scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis, em páginas que contenham um elemento de classificação. A exploração requer que o invasor seja capaz de inserir marcações HTML manipuladas na mesma página que o elemento de classificação. Aproximadamente 436.300 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

O módulo Webform, utilizado para criar formulários e processar envios, contém uma falha na maneira como lida com os manipuladores de Post Remoto (Remote Post handlers). Esses manipuladores enviam dados para servidores externos via APIs. O módulo não filtra adequadamente os valores de resposta do manipulador de Post Remoto antes que esses valores sejam renderizados por meio de tokens de resposta do manipulador. Consequentemente, se um site utilizar esses tokens na saída renderizada, um endpoint remoto poderá retornar valores que sejam renderizados como HTML, resultando em cross-site scripting (XSS), onde scripts maliciosos são injetados em sites confiáveis. Aproximadamente 436.300 instâncias foram identificadas globalmente.

O módulo Webform não sanitiza adequadamente a configuração do contador de texto antes de passar as opções para a biblioteca jQuery Text Counter incluída. Essa falha permite que marcações de configurações relacionadas ao contador sejam inseridas na página, resultando em cross-site scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis. A exploração requer que o invasor tenha permissões para criar ou editar elementos Webform afetados ou para colocar marcações de contador manipuladas em uma página onde o JavaScript do contador Webform esteja ativo. Aproximadamente 436.300 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

O módulo Webform não força adequadamente o download de certos tipos de arquivos carregados quando estes são servidos. Em configurações específicas do site, um arquivo enviado por meio de um formulário web pode ser renderizado inline pelo navegador, resultando em cross-site scripting (XSS), onde scripts maliciosos são executados no navegador da vítima. Aproximadamente 436.300 instâncias foram identificadas globalmente. Este problema requer que um usuário com permissão para criar ou editar formulários web configure o formulário para permitir as extensões de arquivo afetadas, e que a vítima abra especificamente o arquivo carregado.

O módulo Webform não sanitiza adequadamente os atributos usados em seu elemento de cor. Isso pode resultar em cross-site scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis, quando o elemento é renderizado. A exploração requer que o invasor adicione um link especialmente criado com uma classe específica na mesma página que o webform afetado. Aproximadamente 436.400 instâncias de Drupal foram identificadas globalmente como alvos potenciais.

Existe um problema no módulo Webform, utilizado para criar formulários e coletar envios. Devido à sanitização inadequada do texto de anúncio utilizado para tecnologias assistivas, entradas especialmente elaboradas podem levar ao cross-site scripting. Aproximadamente 436.400 instâncias de Drupal foram identificadas globalmente como potencialmente expostas. A execução remota de código também é possível.

A sanitização insuficiente de tooltips e textos de ajuda no módulo Webform permite a ocorrência de cross-site scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis. A exploração requer que o invasor possua permissões para criar ou editar a configuração ou o conteúdo do Webform afetado. Aproximadamente 436.300 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

Quando o módulo Webform é utilizado com o JSON:API habilitado, as submissões podem ser armazenadas em cache sem a variação correta por usuário autenticado. Isso ocorre quando um formulário web é configurado para permitir que usuários autenticados visualizem suas próprias submissões, podendo fazer com que uma requisição ao endpoint de coleção de submissões do JSON:API retorne uma resposta em cache gerada para um usuário diferente. Consequentemente, um usuário autenticado pode visualizar dados de submissão de outro usuário. Aproximadamente 436.300 instâncias de Drupal foram identificadas globalmente como potencialmente expostas. Este problema requer que o JSON:API esteja habilitado, que o formulário web afetado exponha submissões através do JSON:API e que o atacante possua uma conta com permissões para visualizar suas próprias submissões.

A granularidade insuficiente do controle de acesso no módulo Webform permite a navegação forçada. O módulo não restringe suficientemente o acesso à configuração de manipuladores de Operações HTTP Remotas, o que pode permitir que um usuário com permissão para editar um webform configure uma operação HTTP remota.