Marcus Johansson

**Nome do Software Vulnerável e Versões Afetadas** O nome do produto não pôde ser determinado (versões afetadas não especificadas) **Descrição** Dois problemas distintos foram identificados. Primeiro, um módulo projetado para restringir o acesso ao endpoint `/user/login` por meio de uma chave secreta não invalida os caches relevantes ao ser ativado. Isso permite que atacantes acessem a página de login por meio de respostas em cache. Segundo, um módulo que expõe dados estruturados via endpoints JSON não verifica suficientemente as permissões de acesso. Isso permite que usuários anônimos recuperem valores de campos de entidades que não têm autorização para visualizar, como conteúdo não publicado. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal LDAP / Active Directory Integration versões 0.0.0 a 2.2.1 **Descrição** Um problema de Injeção LDAP existe porque o módulo não sanitiza adequadamente a entrada fornecida pelo usuário antes de incorporá-la em um filtro de pesquisa LDAP. Isso permite que um invasor descubra informações que normalmente não deveriam estar acessíveis. **Recomendações** Atualize o Drupal LDAP / Active Directory Integration para uma versão posterior à 2.2.1.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Digital Signage Framework versões 0.0.0 a 2.6.1 **Description** Uma falha de autorização ausente permite a navegação forçada (Forceful Browsing). O módulo fornece uma rota para que dispositivos de sinalização atualizem blocos dinâmicos em um visor, mas não verifica se o solicitante é um dispositivo de sinalização autorizado ou se o bloco solicitado é destinado à exibição. Consequentemente, um visitante anônimo pode ler o conteúdo renderizado de blocos que não deveria visualizar. Isso é parcialmente mitigado caso os plugins de bloco realizem suas próprias verificações de acesso ao conteúdo. **Recommendations** Atualize o Drupal Digital Signage Framework para uma versão posterior à 2.6.1.

**Nome do Software Vulnerável e Versões Afetadas** Entity PDF versões 0.0.0 a 2.1.5 **Descrição** A ausência de autorização no módulo Entity PDF permite a navegação forçada (Forceful Browsing). O módulo não verifica o acesso de visualização da entidade ao buscar uma rota de PDF, o que pode permitir que um usuário acesse o PDF de uma entidade que ele não deveria ter permissão para visualizar. **Recomendações** Atualize o Entity PDF para uma versão posterior à 2.1.5.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Entity Share Websub versões 0.0.0 a 1.1.2 **Descrição** A validação insuficiente de certas entradas permite que um invasor realize Server-Side Request Forgery (SSRF), uma técnica na qual o servidor é coagido a fazer requisições não autorizadas a recursos internos ou externos. **Recomendações** Atualize o Drupal Entity Share Websub para uma versão posterior à 1.1.2.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI versões 0.0.0 through 1.2.17 Drupal AI versões 1.3.0 through 1.3.8 Drupal AI versões 1.4.0 through 1.4.3 **Description** Uma falha de autorização ausente permite a navegação forçada (Forceful Browsing). Certas ações do núcleo do Drupal, expostas como ferramentas de agente, não possuem a validação de acesso correta, e algumas ações do núcleo carecem de definições de nível de acesso associadas. Isso permite que um agente utilize ferramentas de ações do núcleo do Drupal ignorando os controles de acesso, desde que o invasor consiga se comunicar com o agente afetado e o site esteja configurado para expor essas ferramentas a usuários não privilegiados. **Recommendations** Atualize as versões do Drupal AI 0.0.0 through 1.2.17 para uma versão posterior a 1.2.17. Atualize as versões do Drupal AI 1.3.0 through 1.3.8 para uma versão posterior a 1.3.8. Atualize as versões do Drupal AI 1.4.0 through 1.4.3 para uma versão posterior a 1.4.3.

**Nome do Software Vulnerável e Versões Afetadas** Drupal OpenAI Provider versões 0.0.0 a 1.1.1 Drupal OpenAI Provider versões 1.2.0 a 1.2.2 **Description** A sanitização insuficiente de URLs fornecidas pelo usuário leva a um Server-Side Request Forgery (SSRF), uma falha onde um invasor pode induzir o servidor a fazer requisições para um local não pretendido. A exploração requer que o invasor tenha permissões para modificar a URL do host e a capacidade de gerar imagens geradas por IA. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI versões 0.0.0 through 1.2.17 Drupal AI versões 1.3.0 through 1.3.8 Drupal AI versões 1.4.0 through 1.4.3 **Description** A neutralização inadequada de entrada durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo e submódulos específicos, incluindo AI Automators, AI Translate, AI API Explorer e AI Content Suggestions, permitem o uso de um Large Language Model (LLM) para gerar HTML ou Markdown para visualização no navegador. Sob certas condições, a renderização deste HTML pode levar a XSS ou à exposição de comunicações secretas no contexto da requisição do LLM. Este problema requer que um atacante seja capaz de injetar texto em prompts para executar o ataque. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI Agents versões 0.0.0 a 1.1.4 Drupal AI Agents versões 1.2.0 a 1.2.5 Drupal AI Agents versões 1.3.0 a 1.3.1 **Description** A falta de autorização permite a navegação forçada (Forceful Browsing) no módulo que fornece o tipo de entidade e o tempo de execução para que os agentes utilizem ferramentas. O problema ocorre porque o módulo não verifica adequadamente as permissões necessárias quando uma ferramenta carrega entidades de conteúdo. A exploração requer que um agente esteja configurado para usar a ferramenta afetada e que o invasor tenha acesso a esse agente. **Recommendations** Atualizar as versões 0.0.0 a 1.1.4 do Drupal AI Agents para uma versão posterior a 1.1.4. Atualizar as versões 1.2.0 a 1.2.5 do Drupal AI Agents para uma versão posterior a 1.2.5. Atualizar as versões 1.3.0 a 1.3.1 do Drupal AI Agents para uma versão posterior a 1.3.1.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI Agents versões 0.0.0 até 1.1.4 Drupal AI Agents versões 1.2.0 até 1.2.5 Drupal AI Agents versões 1.3.0 até 1.3.1 **Descrição** Um problema de autorização incorreta permite a navegação forçada. Sob certas circunstâncias, o agente herda parâmetros determinísticos ao invocar a mesma ferramenta em uma única requisição, o que pode levar à divulgação de informações. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Drupal AI versions 0.0.0 through 1.1.10 Drupal AI versions 1.2.0 through 1.2.11 **Description** An incorrect authorization issue exists in Drupal AI (Artificial Intelligence) that allows for resource injection. The module and certain submodules (AI Automators, AI Translate, AI API Explorer, AI Content Suggestions) allow the use of a Large Language Model (LLM) to generate HTML or Markdown, and preview it in a browser. Under specific conditions, rendering this HTML can expose secret communications related to the LLM request. **Recommendations** Update Drupal AI to version 1.1.11 or later. Update Drupal AI to version 1.2.12 or later.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI versões de 0.0.0 a 1.0.6 Drupal AI versões de 1.1.0 a 1.1.6 Drupal AI versões de 1.2.0 a 1.2.3 **Descrição** Existe uma vulnerabilidade no Drupal AI que permite Cross-Site Scripting (XSS). Este problema é devido à neutralização inadequada da entrada durante a geração da página da web. A vulnerabilidade poderia potencialmente permitir que um atacante injete scripts maliciosos em páginas da web visualizadas por outros usuários. **Recomendações** Atualize o Drupal AI para a versão 1.0.7 ou superior. Atualize o Drupal AI para a versão 1.1.7 ou superior. Atualize o Drupal AI para a versão 1.2.4 ou superior.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI (Inteligência Artificial) versões 0.0.0 até 1.0.4 **Descrição** O problema está relacionado a uma vulnerabilidade de Injeção de Comando no Sistema Operacional devido à neutralização inadequada de elementos especiais utilizados em um comando do SO. Isso permite a Injeção de Comando no Sistema Operacional. **Recomendações** Para as versões 0.0.0 até 1.0.4, atualize para a versão 1.0.5 ou posterior para resolver o problema.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI (Inteligência Artificial) versões 0.0.0 até 1.0.4 **Descrição** O problema está relacionado a uma vulnerabilidade de Injeção de Comando do Sistema Operacional devido à neutralização inadequada de elementos especiais utilizados em um comando do sistema operacional. Isso permite a Injeção de Comando do Sistema Operacional. **Recomendações** Para as versões 0.0.0 até 1.0.4, atualize para a versão 1.0.5 ou posterior para resolver o problema.

**Name of the Vulnerable Software and Affected Versions** Drupal AI (Artificial Intelligence) versions 0.0.0 through 1.0.2 **Description** The issue is related to a Missing Authorization vulnerability, which allows Forceful Browsing in Drupal AI (Artificial Intelligence). **Recommendations** For versions 0.0.0 through 1.0.2, update to version 1.0.3 or later to resolve the issue.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI (Inteligência Artificial) versões 1.0.0 a 1.0.1 **Descrição** O problema consiste em uma vulnerabilidade de Cross-Site Request Forgery (CSRF), que permite a um invasor realizar ações em nome de um usuário sem o seu consentimento. Este é um tipo de ataque no qual um invasor induz um usuário a realizar ações não intencionais em uma aplicação web na qual o usuário está autenticado. **Recomendações** Para as versões 1.0.0 a 1.0.1, atualize para a versão 1.0.2 ou posterior para resolver o problema.