Michael Maturi

O módulo Webform não força adequadamente o download de certos tipos de arquivos carregados quando estes são servidos. Em configurações específicas do site, um arquivo enviado por meio de um formulário web pode ser renderizado inline pelo navegador, resultando em cross-site scripting (XSS), onde scripts maliciosos são executados no navegador da vítima. Aproximadamente 436.300 instâncias foram identificadas globalmente. Este problema requer que um usuário com permissão para criar ou editar formulários web configure o formulário para permitir as extensões de arquivo afetadas, e que a vítima abra especificamente o arquivo carregado.

O módulo Webform não exclui adequadamente certos modelos de formato da substituição de tokens. Isso permite que um invasor envie dados que são avaliados como código de modelo quando uma submissão é renderizada. Dependendo da configuração do site e dos módulos habilitados, isso pode levar à execução remota de código, cross-site scripting (XSS) armazenado ou divulgação de informações. Este problema é mitigado se o webform não estiver configurado com um formato de item de valor múltiplo personalizado que inclua tokens de valor de submissão. Aproximadamente 436.300 instâncias foram identificadas globalmente.

Um problema de injeção de SQL existe no módulo Drupal Geolocation Field, que fornece funcionalidade para armazenar coordenadas e suporta views e outros módulos. O problema ocorre porque um dos filtros de views não sanitiza adequadamente os valores quando estes são expostos à entrada do usuário. Isso permite a neutralização inadequada de elementos especiais usados em um comando SQL. O risco é limitado a cenários onde uma view está configurada para usar o filtro afetado e está definida para aceitar entrada do usuário.

Um invasor com permissões de escrita apropriadas no JSON:API poderia, em certas circunstâncias raras, injetar um payload malicioso, resultando em PHP Object Injection. O PHP Object Injection ocorre quando entradas não confiáveis são usadas para instanciar objetos, o que pode permitir que um invasor execute código arbitrário ou manipule a lógica da aplicação. Este problema é explorável apenas se o site utilizar um tipo de campo de referência de entidade que armazene uma propriedade serializada e tiver habilitado o acesso de escrita para o JSON:API, que é somente leitura por padrão.

O Drupal core contém uma gadget chain, que é uma sequência de fragmentos de código existentes que podem ser aproveitados durante a desserialização de dados não confiáveis. Embora este problema não seja diretamente explorável, ele pode servir como um vetor para alcançar a execução remota de código ou injeção de SQL se uma vulnerabilidade separada permitir que um invasor passe entradas inseguras para a função `unserialize()`.

Uma falha de injeção de SQL não autenticada existe na API de abstração de banco de dados do Drupal Core, especificamente no manipulador de condições `EntityQuery` do PostgreSQL. O problema ocorre quando chaves de array PHP controladas pelo invasor, como `filter[...][condition][value][malicious key]`, são concatenadas diretamente em identificadores SQL sem a sanitização adequada. Esta vulnerabilidade afeta exclusivamente sites que utilizam bancos de dados PostgreSQL. Usuários anônimos remotos podem explorar isso para obter acesso total ao banco de dados, exfiltrar dados sensíveis, elevar privilégios para Administrador e, potencialmente, executar comandos de shell arbitrários no servidor host via Execução Remota de Código (RCE) se as permissões do banco de dados estiverem mal configuradas (por exemplo, permitindo `COPY FROM PROGRAM`). Foram detectadas mais de 15.000 tentativas de ataque contra aproximadamente 6.000 sites em 65 países, sendo os serviços financeiros e de jogos os alvos principais.

A vulnerabilidade permite o upload irrestrito de um arquivo de tipo perigoso.

A vulnerabilidade permite XSS armazenado.

Um invasor autenticado pode enviar uma solicitação GET a um ponto de extremidade da API REST vulnerável a uma falha de Referência Direta a Objetos Não Segura (IDOR) e obter dados confidenciais.

**Nome do software vulnerável e versões afetadas: Telefone VoIP Grandstream GRP261x, versão 1.0.3.6 (Base) Descrição: A vulnerabilidade permite a injeção de comando como root na interface web administrativa do telefone VoIP Grandstream GRP261x. Recomendações: Para o telefone VoIP Grandstream GRP261x versão 1.0.3.6 (Base), no momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas: Telefone VoIP Grandstream GRP261x, versão 1.0.3.6 (Base) Descrição: A vulnerabilidade permite a contornar a autenticação na interface web administrativa do telefone VoIP Grandstream GRP261x. Recomendações: Para o telefone VoIP Grandstream GRP261x versão 1.0.3.6 (Base), no momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.