Marcus Johansson

Este módulo fornece uma estrutura para integrar provedores e recursos de IA no Drupal. O problema ocorre porque o módulo não sanitiza adequadamente certos atributos HTMX, levando ao Cross-Site Scripting (XSS), onde scripts maliciosos podem ser injetados em páginas da web.

Uma falha de autorização ausente permite a navegação forçada e a evasão de controle de acesso. A falha decorre da proteção insuficiente de rotas e campos de entidade, permitindo que invasores não autenticados executem ações privilegiadas, manipulem pedidos e acessem dados de pagamento de clientes ou informações de identificação pessoal (PII). Este problema afeta o carrinho de compras, o checkout e a funcionalidade de API. Estima-se que mais de 42.000 implantações sejam afetadas. Existem confirmações de exploração ativa, incluindo instâncias de pedidos fraudulentos em sites reais.

Ocorre Cross-site Scripting (XSS) Armazenado porque o módulo não sanitiza adequadamente o conteúdo fornecido pelo usuário antes de salvá-lo no sistema de arquivos público. Isso permite que um arquivo maliciosamente criado contenha conteúdo ativo ou inseguro que pode ser executado no navegador de outros usuários.

Um problema de autorização incorreta permite a navegação forçada, na qual usuários sem as permissões necessárias podem acessar o formulário de atualização em massa usado para atribuir ou remover funções em várias contas de usuário. Isso é mitigado pelo fato de que um invasor deve possuir uma função com a permissão "administer users".

A neutralização inadequada de entradas durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo não valida suficientemente links Markdown sob certas condições, o que pode levar à execução de scripts maliciosos no navegador do usuário.

Existe um problema em que o módulo não valida suficientemente as URLs de arquivos em busca de conteúdo malicioso durante a recuperação de fallback. Isso leva ao Cross-Site Scripting (XSS), uma condição em que scripts maliciosos são injetados em sites confiáveis. A exploração requer que o módulo esteja habilitado no site alvo e que o invasor tenha a capacidade de fazer upload de um arquivo malicioso para o servidor de origem configurado.

Um problema de autorização incorreta permite a navegação forçada. O módulo não restringe suficientemente o acesso aos campos de licença para usuários com a permissão `update own commerce license`. Consequentemente, o proprietário de uma licença pode alterar o estado da licença e os direitos concedidos por ela, o que pode resultar em escalada de privilégios até a função de Administrador.

Ocorre Cross-site Scripting (XSS) Armazenado devido à neutralização inadequada de entrada durante a geração de páginas web. O submódulo AI Automator, que permite o preenchimento automático de campos com base em outros campos, não verifica adequadamente o acesso aos formatos de texto. Isso permite que usuários criem dados de campo em formatos de texto aos quais não deveriam ter acesso.

Uma falha de autorização incorreta permite a navegação forçada quando uma loja é salva. O sistema não verifica as permissões de acesso adequadamente, permitindo que um usuário com a capacidade de criar lojas ou editar sua própria loja a marque como a loja padrão do site. Isso faz com que o usuário receba pedidos aos quais normalmente não deveria ter acesso. Este problema afeta principalmente sites que concedem essas permissões a usuários não confiáveis, como sites de marketplace onde os vendedores gerenciam suas próprias lojas.

Um problema de autorização incorreta permite a navegação forçada. O módulo não verifica adequadamente o acesso à relação entre promoções e cupons. Consequentemente, um usuário autorizado apenas a gerenciar suas próprias promoções pode modificar ou excluir cupons associados a outras promoções. Este problema é mitigado se o site não permitir gravações via JSON:API ou REST, que vêm desativados por padrão.

A neutralização inadequada de entrada durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo não restringe suficientemente a renderização de HTML, permitindo a execução de scripts maliciosos sob certas condições. Este problema é mitigado pelo fato de que um invasor deve ter acesso a um formato de texto que possa renderizar HTML.

Existe um problema onde o módulo não restringe suficientemente as variações de produtos retornadas por consultas de entidade àquelas que o usuário atual tem permissão para visualizar. Quando o módulo core JSON:API está habilitado, um invasor pode realizar a navegação forçada fazendo requisições repetidas para determinar valores de campos de variações de produtos não publicados ou variações de produtos não publicados.

Um problema no submódulo AI Chatbot ocorre quando a entrada do usuário não é filtrada adequadamente antes de ser renderizada em uma página web, levando ao Cross-Site Scripting (XSS). Isso ocorre sob certas configurações e exige que o invasor tenha permissões para administrar blocos.

Uma autorização incorreta no módulo AI permite a injeção de recursos. O módulo não valida links adequadamente sob certas condições, o que pode permitir a exfiltração de informações sensíveis para sites externos. Isso ocorre quando um invasor utiliza fontes não confiáveis ao interagir com o módulo de forma a produzir HTML renderizado.

Níveis de controle de acesso configurados incorretamente no submódulo AI Search permitem que o cache do navegador web contenha informações sensíveis. Embora o backend do AI Search verifique o acesso para cada resultado de pesquisa, essa verificação é ignorada quando o Search API armazena em cache os resultados de uma view. Consequentemente, usuários podem visualizar resultados de pesquisa em cache, como títulos e campos de conteúdo não publicado ou restrito, caso um usuário com permissões adequadas tenha realizado a mesma pesquisa dentro do tempo de vida do cache. Isso ocorre quando o submódulo AI Search está habilitado e uma view do Search API utiliza cache de resultados baseado em tempo, tags ou ambos.

O Cross-Site Request Forgery (CSRF) ocorre quando um usuário é enganado para realizar uma ação que não pretendia. Neste caso, as rotas para a caixa de entrada não verificam tokens CSRF. Um invasor pode enganar um usuário com a permissão "access commerce administration pages" para visitar uma página maliciosa que descarta as notificações. Como a caixa de entrada é compartilhada, essa ação oculta as mensagens, incluindo avisos de atualizações de segurança, para todos os administradores.

O armazenamento inseguro de informações sensíveis ocorre quando arquivos de áudio para solicitações de fala-para-texto são gravados em um único arquivo no diretório temporário e não são excluídos após o processamento. Isso permite que um invasor com acesso de leitura ao diretório temporário do site—potencialmente via hospedagem compartilhada ou outro código que exponha arquivos temporários—recupere dados de áudio enviados por outros usuários para transcrição.

Existe um problema no Drupal Patreon que afeta a segurança do software.

Um problema de Injeção de Comando de SO existe porque o módulo não sanitiza adequadamente os nomes de arquivos passados para a ferramenta de interface de linha de comando ffmpeg. Isso permite a neutralização inadequada de elementos especiais usados em um comando de SO. A exploração requer que o invasor tenha a capacidade de fazer upload de imagens no site.

Existe uma falha de bypass de autenticação no módulo Drupal Domain Login Restrict, projetado para restringir logins de usuários em sites multi-domínio apenas aos domínios atribuídos. O módulo não aplica essas restrições adequadamente quando um usuário se autentica por um método diferente do formulário de login padrão. A exploração requer que o invasor possua uma conta de usuário válida e que a configuração "Enable restriction" esteja ativa na página de configurações do Domain. Usuários com a permissão "Login to any domain" não são afetados.