Michael Hess

**Nome do Software Vulnerável e Versões Afetadas** Drupal Webform REST versões 0.0.0 a 4.1.0 **Descrição** Uma autorização incorreta no módulo permite a navegação forçada (forceful browsing). O módulo não verifica adequadamente as permissões de criação, visualização e atualização do webform pai ao acessar endpoints REST. Este problema requer que o invasor já possua permissões para utilizar o recurso REST. **Recomendações** Atualize o Drupal Webform REST para uma versão posterior à 4.1.0.

**Name of the Vulnerable Software and Affected Versions** Drupal versões anteriores a 10.5.9 Drupal versões anteriores a 10.6.7 Drupal versões anteriores a 11.2.11 Drupal versões anteriores a 11.3.7 **Description** A integração do jQuery do Drupal core para caixas de diálogo modal AJAX não sanitiza adequadamente certas opções, o que pode levar a uma vulnerabilidade de cross-site scripting (XSS), uma falha onde scripts maliciosos são injetados em sites confiáveis. **Recommendations** Atualizar para a versão 10.5.9 Atualizar para a versão 10.6.7 Atualizar para a versão 11.2.11 Atualizar para a versão 11.3.7

**Name of the Vulnerable Software and Affected Versions** Drupal File (Field) Paths versions prior to 7.1.3 **Description** An information disclosure issue exists in the file URI processing of File (Field) Paths in Drupal. Authenticated users can potentially disclose other users’ private files through filename-collision uploads. This can occur when consumers of `hook node insert()`—such as email attachment modules—receive an incorrect file URI, bypassing normal access controls on private files. **Recommendations** Update Drupal File (Field) Paths to version 7.1.3 or later.

**Name of the Vulnerable Software and Affected Versions** Drupal CAPTCHA versions 0.0.0 through 1.16.9 Drupal CAPTCHA versions 2.0.0 through 2.0.9 **Description** A functionality bypass exists in Drupal CAPTCHA due to insufficient invalidation of security tokens. An attacker may bypass the CAPTCHA on subsequent submissions if they first successfully solve at least one CAPTCHA manually to obtain valid tokens. **Recommendations** Update Drupal CAPTCHA to version 1.17.0 or later. Update Drupal CAPTCHA to version 2.0.10 or later.

Nome do Software Vulnerável e Versões Afetadas: Drupal Simple XML sitemap versões 0.0.0 a 4.2.1 Descrição: O problema está relacionado à Neutralização Imprópria de Entrada Durante a Geração de Página Web, também conhecido como Cross-site Scripting (XSS). Isso permite que um invasor realize ataques de Cross-Site Scripting. Recomendações: Para as versões 0.0.0 a 4.2.1, atualize para a versão 4.2.2 ou posterior para resolver o problema. Como solução temporária, considere restringir a entrada do usuário para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Migrate queue importer, versões 0.0.0 a 2.1.1 **Descrição** O problema está relacionado a uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) no módulo Migrate queue importer do sistema de gerenciamento de conteúdo Drupal. Essa vulnerabilidade permite ataques de falsificação de solicitação entre sites. **Recomendações** Para as versões 0.0.0 a 2.1.1, atualize para uma versão posterior à 2.1.1 para resolver o problema. Como solução temporária, considere restringir o acesso ao módulo Migrate queue importer até que um patch esteja disponível.

**Nome do software vulnerável e versões afetadas** Drupal REST & JSON API Authentication, versões 0.0.0 a 2.0.12 **Descrição** O problema está relacionado a uma vulnerabilidade de autorização incorreta na Drupal REST & JSON API Authentication, permitindo a navegação forçada. Isso pode permitir que um invasor remoto contorne as restrições de segurança existentes. **Recomendações** Para as versões 0.0.0 a 2.0.12, atualize para a versão 2.0.13 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao módulo de autenticação REST & JSON API até que um patch seja aplicado.

**Nome do software vulnerável e versões afetadas** Drupal Image Sizes, versões 0.0.0 a 3.0.1 **Descrição** O problema está relacionado à inserção de informações confidenciais nos dados enviados, o que permite a navegação forçada. Isso pode ser explorado por um invasor remoto para contornar restrições de segurança. **Recomendações** Para as versões 0.0.0 a 3.0.1, atualize para a versão 3.0.2 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas** Drupal Advanced PWA inc Push Notifications, versões 0.0.0 a 1.5.0 **Descrição** O problema está relacionado a uma vulnerabilidade de autorização incorreta no módulo Drupal Advanced PWA inc Push Notifications, que permite a navegação forçada. Isso significa que um invasor pode contornar as restrições de segurança e realizar ações não autorizadas. A vulnerabilidade pode ser explorada remotamente. **Recomendações** Para as versões 0.0.0 a 1.5.0, atualize para a versão 1.5.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao módulo para minimizar o risco de exploração.

**Name of the Vulnerable Software and Affected Versions** IBM Cloud Pak for Data versions 4.5 through 4.6 **Description** The issue allows a privileged user to upload malicious files of dangerous types that can be automatically processed within the product's environment. **Recommendations** For versions 4.5 and 4.6, consider restricting file upload capabilities to prevent the processing of malicious files until a patch is available. As a temporary workaround, limit the privileges of users who can upload files to minimize the risk of exploitation.

**Nome do software vulnerável e versões afetadas** Versões do Cisco Web Security Appliance (WSA) (versões afetadas não especificadas) **Descrição** Uma vulnerabilidade na interface de gerenciamento baseada na web do Cisco AsyncOS para o Cisco Web Security Appliance (WSA) poderia permitir que um invasor remoto não autenticado realizasse um ataque de cross-site scripting (XSS) contra um usuário da interface de um dispositivo afetado. Essa vulnerabilidade se deve à validação inadequada das entradas fornecidas pelo usuário na interface de gerenciamento baseada na web. Um invasor poderia explorar essa vulnerabilidade persuadindo um usuário a baixar um arquivo malicioso que contém carga maliciosa e enviá-lo para o dispositivo afetado. Uma exploração bem-sucedida poderia permitir que o invasor executasse código de script arbitrário no contexto da interface afetada ou acessasse informações confidenciais baseadas no navegador. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Moodle versions prior to 2.2.11 Moodle versions 2.3.x before 2.3.10 Moodle versions 2.4.x before 2.4.7 Moodle versions 2.5.x before 2.5.3 **Description** A cross-site scripting (XSS) issue allows remote authenticated users to inject arbitrary web script or HTML via an answer to a text-based quiz question. This occurs due to insufficient input validation in the quiz module. **Recommendations** For versions prior to 2.2.11, update to version 2.2.11 or later. For versions 2.3.x before 2.3.10, update to version 2.3.10 or later. For versions 2.4.x before 2.4.7, update to version 2.4.7 or later. For versions 2.5.x before 2.5.3, update to version 2.5.3 or later.