Mingsong

Um problema de autorização incorreta permite a navegação forçada e a ignorância de controle de acesso. Isso permite que um invasor atualize campos de entidade sem que o sistema verifique o acesso ao nível do campo. Esta ação requer que o invasor já possua permissões para atualizar a própria entidade.

Níveis de segurança de controle de acesso configurados incorretamente permitem que as permissões de um token sejam armazenadas em cache de forma que possam ser reutilizadas para o token de outro usuário com os mesmos escopos. Isso pode permitir que um usuário obtenha permissões não autorizadas, incluindo acesso administrativo. A exploração requer que o token de um usuário com mais privilégios e os mesmos escopos seja utilizado primeiro.

Existe um problema em que o módulo Navigation não sanitiza adequadamente certos atributos, levando ao Cross-Site Scripting (XSS), uma condição onde scripts maliciosos são injetados em sites confiáveis. A exploração requer que o invasor possua uma função com permissão para inserir tags HTML contendo atributos de dados específicos ou a permissão `administer menu`.

Ocorre Cross-site Scripting (XSS) Armazenado porque o módulo Layout Builder não sanitiza adequadamente os rótulos dos blocos em certos cenários. Isso permite que um invasor injete scripts maliciosos que são armazenados e posteriormente executados no navegador de outro usuário. A exploração requer que tanto o invasor quanto o usuário visado estejam utilizando a interface de edição do Layout Builder.

O Drupal core contém um problema onde as sugestões de entidade fornecidas durante o processo de adição de um link ao CKEditor 5 não são suficientemente sanitizadas. Isso permite que um usuário mal-intencionado execute um ataque de cross-site scripting (XSS) armazenado contra outros usuários. O cross-site scripting é uma falha na qual uma aplicação inclui dados não confiáveis em uma página web sem a validação adequada, permitindo que invasores executem scripts maliciosos no navegador da vítima.

The Tagify module for Drupal does not properly sanitize user-provided input before using it in JavaScript templates within the Tagify widget. This allows for the execution of arbitrary JavaScript code in a user's browser when content is created or edited. The issue stems from insufficient input neutralization during web page generation, leading to a Cross-Site Scripting (XSS) condition.

Existe uma falha no núcleo do Drupal relacionada ao uso de um cache do navegador web que pode conter informações sensíveis. Isso ocorre devido a níveis de segurança de controle de acesso configurados incorretamente.

Existe uma falha no núcleo do Drupal que permite a falsificação de conteúdo por meio de uma representação incorreta de informações críticas na interface do usuário. Este problema afeta a exibição de conteúdo dentro da aplicação.

O problema está relacionado à alocação de recursos sem limites ou controle de taxa no Drupal Events Log Track, permitindo alocação excessiva.

The issue is related to an Incorrect Authorization vulnerability in Drupal core, allowing Forceful Browsing.

The issue is related to a Missing Authorization vulnerability, which allows Forceful Browsing in Drupal AI (Artificial Intelligence).

Nome do software vulnerável e versões afetadas: Versões do Drupal Core 8.8.0 a 10.2.11 Versões do Drupal Core 10.3.0 a 10.3.9 Versões do Drupal Core 11.0.0 a 11.0.8 Descrição: O problema está relacionado à proteção insuficiente da estrutura da página da web, permitindo que um invasor realize um ataque de cross-site scripting (XSS). Isso se deve à neutralização inadequada da entrada durante a geração da página da web, o que possibilita o cross-site scripting. O problema afeta o Drupal Core, permitindo que invasores explorem essa falha e levando a um XSS. Recomendações: Para as versões do Drupal Core 8.8.0 a 10.2.11, atualize para a versão 10.2.11 ou posterior. Para as versões do Drupal Core 10.3.0 a 10.3.9, atualize para a versão 10.3.9 ou posterior. Para as versões do Drupal Core 11.0.0 a 11.0.8, atualize para a versão 11.0.8 ou posterior. Como solução temporária, considere restringir o uso de JavaScript para renderizar mensagens de status em certos casos e configurações, a fim de minimizar o risco de exploração.

The issue is related to a Cross-Site Request Forgery (CSRF) vulnerability in Drupal Gutenberg, which allows for Cross-Site Request Forgery. This vulnerability can be exploited by a remote attacker to perform a CSRF attack.

O problema está relacionado a uma vulnerabilidade de falsificação de solicitação entre sites (CSRF), que pode ser explorada por um invasor remoto para realizar um ataque CSRF. Essa vulnerabilidade afeta o módulo Drupal Symfony Mailer Lite, permitindo que um invasor falsifique solicitações em nome de um usuário.