Mohit Aghera

Uma falha de autorização ausente permite a navegação forçada e a evasão de controle de acesso. A falha decorre da proteção insuficiente de rotas e campos de entidade, permitindo que invasores não autenticados executem ações privilegiadas, manipulem pedidos e acessem dados de pagamento de clientes ou informações de identificação pessoal (PII). Este problema afeta o carrinho de compras, o checkout e a funcionalidade de API. Estima-se que mais de 42.000 implantações sejam afetadas. Existem confirmações de exploração ativa, incluindo instâncias de pedidos fraudulentos em sites reais.

Uma autorização incorreta permite a navegação forçada devido à verificação insuficiente de privilégios administrativos ao verificar o acesso a campos protegidos. Isso permite que usuários atribuídos a uma função com o nome de máquina `administrator` (desde que não esteja sinalizada como a função de administrador real do site) ignorem as restrições de acesso ao nível do campo e obtenham acesso não autorizado de visualização e edição a campos protegidos.

Ocorre Cross-site Scripting (XSS) Armazenado porque o módulo não sanitiza adequadamente os atributos usados para definir atributos personalizados para um bloco. Isso permite que um invasor com a permissão `administer blocks` injete scripts maliciosos em páginas da web. Cross-site Scripting é uma falha onde dados não confiáveis são inseridos em uma página da web sem a devida validação ou codificação, permitindo a execução de scripts no navegador da vítima.

Uma autorização incorreta permite a navegação forçada. O módulo permite que os construtores do site controlem a visualização de páginas de entidades, exibindo a página, retornando respostas de acesso negado ou não encontrado, ou redirecionando os visitantes. Um problema permite que visitantes anônimos ignorem esses comportamentos usando um parâmetro de consulta específico, podendo visualizar conteúdos que deveriam estar ocultos ou evitar redirecionamentos. Além disso, as configurações por entidade são armazenadas em campos que carecem de controle de acesso adequado; embora o módulo verifique permissões para exibir configurações no formulário de edição, os campos seguem o acesso padrão. Isso permite que usuários com permissão de edição de entidades modifiquem essas configurações se houver um caminho de gravação que ignore o formulário da entidade, como REST, JSON:API com gravação habilitada ou Views Bulk Operations.

Existe um problema onde o módulo não sanitiza adequadamente certos atributos, levando ao cross-site scripting (XSS), uma falha que permite a invasores injetar scripts maliciosos em páginas web. Aproximadamente 15.300 instâncias foram identificadas globalmente. A exploração requer que o invasor possua uma função com permissão para inserir tags HTML contendo atributos de dados específicos ou a permissão `administer menu`.

Existe um problema em que o módulo Navigation não sanitiza adequadamente certos atributos, levando ao Cross-Site Scripting (XSS), uma condição onde scripts maliciosos são injetados em sites confiáveis. A exploração requer que o invasor possua uma função com permissão para inserir tags HTML contendo atributos de dados específicos ou a permissão `administer menu`.

Existe um problema no módulo Link do Drupal core, que fornece um tipo de campo para URLs internas e externas. O módulo não sanitiza adequadamente certas marcações em algumas circunstâncias, o que pode levar a vulnerabilidades de Cross-Site Scripting (XSS), uma condição em que scripts maliciosos são injetados em sites confiáveis.

Verificações de permissão insuficientes para entidades de webform e submissões de webform ao recuperar elementos ou campos de webform permitem a navegação forçada (forceful browsing). Isso ocorre no módulo utilizado para recuperar e enviar webforms via REST.

A validação insuficiente de um elemento de upload de arquivo gerenciado durante o processamento de novas submissões permite que um usuário com acesso de submissão possa, potencialmente, acessar outros arquivos gerenciados para os quais não possui autorização. Este problema ocorre quando um site é configurado com um Webform contendo um elemento de upload de arquivo gerenciado e uma configuração que expõe arquivos enviados, como permitir que usuários visualizem suas próprias submissões ou o envio de uploads como anexos de e-mail. Aproximadamente 436.400 instâncias foram identificadas globalmente.

O módulo não redige adequadamente o conteúdo dos e-mails registrados. Consequentemente, e-mails relacionados à conta são armazenados com seus links de login único intactos. Um invasor com a permissão `View Drupal Symfony Mailer log entries` pode acessar esses links para obter acesso não autorizado a qualquer conta, incluindo a conta administrativa (usuário 1). Isso ocorre porque a permissão não foi marcada como restrita em versões anteriores.

Uma falha de autorização no módulo Image permite a navegação forçada (Forceful Browsing), resultando na divulgação de informações. O módulo não verifica adequadamente o acesso aos derivados de estilo de imagem quando esses arquivos são servidos via um fluxo de arquivo diferente de `private://`. Este problema ocorre quando o Drupal está configurado para usar um esquema de arquivo contribuído para servir imagens derivadas privadas.

O Drupal core contém uma gadget chain, que é uma sequência de fragmentos de código existentes que podem ser aproveitados durante a desserialização de dados não confiáveis. Embora este problema não seja diretamente explorável, ele pode servir como um vetor para alcançar a execução remota de código ou injeção de SQL se uma vulnerabilidade separada permitir que um invasor passe entradas inseguras para a função `unserialize()`.

Existe uma falha no núcleo do Drupal relacionada ao uso de um cache do navegador web que pode conter informações sensíveis. Isso ocorre devido a níveis de segurança de controle de acesso configurados incorretamente.