Michael Hess

Existe um problema de bypass de autenticação onde o módulo não invalida completamente uma sessão de CAPTCHA resolvida. Isso permite que um formulário protegido que já foi enviado uma vez seja enviado novamente sem a necessidade de resolver um novo desafio. Esta falha enfraquece a proteção contra envios automatizados, incluindo força bruta de login, spam de comentários e registros de spam.

Uma autorização incorreta no módulo permite a navegação forçada (forceful browsing). O módulo não verifica adequadamente as permissões de criação, visualização e atualização do webform pai ao acessar endpoints REST. Este problema requer que o invasor já possua permissões para utilizar o recurso REST.

A integração do jQuery do Drupal core para caixas de diálogo modal AJAX não sanitiza adequadamente certas opções, o que pode levar a uma vulnerabilidade de cross-site scripting (XSS), uma falha onde scripts maliciosos são injetados em sites confiáveis.

An information disclosure issue exists in the file URI processing of File (Field) Paths in Drupal. Authenticated users can potentially disclose other users’ private files through filename-collision uploads. This can occur when consumers of `hook node insert()`—such as email attachment modules—receive an incorrect file URI, bypassing normal access controls on private files.

A functionality bypass exists in Drupal CAPTCHA due to insufficient invalidation of security tokens. An attacker may bypass the CAPTCHA on subsequent submissions if they first successfully solve at least one CAPTCHA manually to obtain valid tokens.

Nome do Software Vulnerável e Versões Afetadas: Drupal Simple XML sitemap versões 0.0.0 a 4.2.1 Descrição: O problema está relacionado à Neutralização Imprópria de Entrada Durante a Geração de Página Web, também conhecido como Cross-site Scripting (XSS). Isso permite que um invasor realize ataques de Cross-Site Scripting. Recomendações: Para as versões 0.0.0 a 4.2.1, atualize para a versão 4.2.2 ou posterior para resolver o problema. Como solução temporária, considere restringir a entrada do usuário para minimizar o risco de exploração.

O problema está relacionado a uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) no módulo Migrate queue importer do sistema de gerenciamento de conteúdo Drupal. Essa vulnerabilidade permite ataques de falsificação de solicitação entre sites.

O problema está relacionado a uma vulnerabilidade de autorização incorreta na Drupal REST & JSON API Authentication, permitindo a navegação forçada. Isso pode permitir que um invasor remoto contorne as restrições de segurança existentes.

O problema está relacionado à inserção de informações confidenciais nos dados enviados, o que permite a navegação forçada. Isso pode ser explorado por um invasor remoto para contornar restrições de segurança.

O problema está relacionado a uma vulnerabilidade de autorização incorreta no módulo Drupal Advanced PWA inc Push Notifications, que permite a navegação forçada. Isso significa que um invasor pode contornar as restrições de segurança e realizar ações não autorizadas. A vulnerabilidade pode ser explorada remotamente.

The issue allows a privileged user to upload malicious files of dangerous types that can be automatically processed within the product's environment.

Uma vulnerabilidade na interface de gerenciamento baseada na web do Cisco AsyncOS para o Cisco Web Security Appliance (WSA) poderia permitir que um invasor remoto não autenticado realizasse um ataque de cross-site scripting (XSS) contra um usuário da interface de um dispositivo afetado. Essa vulnerabilidade se deve à validação inadequada das entradas fornecidas pelo usuário na interface de gerenciamento baseada na web. Um invasor poderia explorar essa vulnerabilidade persuadindo um usuário a baixar um arquivo malicioso que contém carga maliciosa e enviá-lo para o dispositivo afetado. Uma exploração bem-sucedida poderia permitir que o invasor executasse código de script arbitrário no contexto da interface afetada ou acessasse informações confidenciais baseadas no navegador.

A cross-site scripting (XSS) issue allows remote authenticated users to inject arbitrary web script or HTML via an answer to a text-based quiz question. This occurs due to insufficient input validation in the quiz module.