Mori Sugimoto

**Nome do Software Vulnerável e Versões Afetadas** Drupal core (versões afetadas não especificadas) **Description** O módulo Media oferece suporte ao oEmbed, que utiliza dois mecanismos de descoberta: `providers.json` e descoberta via URL. O código de descoberta de URL pode ser explorado para enganar o sistema, fazendo com que ele realize requisições do lado do servidor para qualquer URL arbitrária. Trata-se de um Server-Side Request Forgery (SSRF), uma falha onde um invasor pode forçar um servidor a enviar requisições para um local não pretendido. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Drupal core versions prior to 8.3.4 Drupal core versions prior to 7.56 **Description** The issue allows an access bypass, where private files uploaded by an anonymous user are visible to all anonymous users, rather than just the user who uploaded them. This occurs on sites that allow anonymous users to upload files into a private file system. **Recommendations** For Drupal core versions prior to 8.3.4, update to version 8.3.4 or later. For Drupal core versions prior to 7.56, update to version 7.56 or later.