Matt Glaman

Um problema de autorização incorreta permite a navegação forçada quando o Drupal Commerce é utilizado em conjunto com o módulo JSON:API. Isso permite que usuários sem as permissões adequadas acessem variações de produtos não publicados. Este problema afeta especificamente sites que mantêm produtos publicados e variações de produtos não publicados.

Uma falha de autorização incorreta no Entity API permite a navegação forçada (forceful browsing). O módulo não aplica corretamente os controles de acesso para os endpoints de coleção de entidades do JSON:API, resultando em uma vulnerabilidade de divulgação de informações. Este problema ocorre quando o módulo JSON:API está habilitado em conjunto com o módulo Entity API.

O módulo Drupal Canvas possui uma falha de autorização que permite a navegação forçada de Páginas do Canvas quando elas não estão publicadas. O módulo não valida adequadamente o acesso às Páginas do Canvas, potencialmente permitindo acesso não autorizado. Isso é mitigado pelo fato de que a moderação de conteúdo não está habilitada por padrão e o arquivamento não é um recurso do módulo.

O problema está relacionado a uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) no módulo Acquia DAM do sistema CMS Drupal. Essa vulnerabilidade pode ser explorada por um invasor remoto para realizar um ataque CSRF ou causar uma negação de serviço.