Neil Drumm

Um problema de autorização incorreta permite a navegação forçada quando o Drupal Commerce é utilizado em conjunto com o módulo JSON:API. Isso permite que usuários sem as permissões adequadas acessem variações de produtos não publicados. Este problema afeta especificamente sites que mantêm produtos publicados e variações de produtos não publicados.

Níveis de segurança de controle de acesso configurados incorretamente permitem que as permissões de um token sejam armazenadas em cache de forma que possam ser reutilizadas para o token de outro usuário com os mesmos escopos. Isso pode permitir que um usuário obtenha permissões não autorizadas, incluindo acesso administrativo. A exploração requer que o token de um usuário com mais privilégios e os mesmos escopos seja utilizado primeiro.

Existe um problema no módulo Link do Drupal core, que fornece um tipo de campo para URLs internas e externas. O módulo não sanitiza adequadamente certas marcações em algumas circunstâncias, o que pode levar a vulnerabilidades de Cross-Site Scripting (XSS), uma condição em que scripts maliciosos são injetados em sites confiáveis.

A sanitização insuficiente de tooltips e textos de ajuda no módulo Webform permite a ocorrência de cross-site scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis. A exploração requer que o invasor possua permissões para criar ou editar a configuração ou o conteúdo do Webform afetado. Aproximadamente 436.300 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

O módulo Webform contém um elemento de classificação que não valida os dados adequadamente. Essa falha pode permitir cross-site scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis, em páginas que contenham um elemento de classificação. A exploração requer que o invasor seja capaz de inserir marcações HTML manipuladas na mesma página que o elemento de classificação. Aproximadamente 436.300 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

Um problema de autorização incorreta permite a navegação forçada. O módulo, que gerencia permissões por tipo de conteúdo de nó para controlar o acesso a conteúdo não publicado, permite incorretamente o acesso de visualização para conteúdo publicado, substituindo outros mecanismos de acesso existentes.

Uma falha de autorização permite a navegação forçada (Forceful Browsing). O módulo não verifica adequadamente o acesso ao bloco quando IDs de blocos arbitrários são enviados para seu endpoint AJAX publicamente acessível. Isso permite que um invasor não autenticado recupere conteúdo de blocos restritos, desde que consiga identificar o ID da máquina de um bloco que contenha informações sensíveis protegidas por restrições de visibilidade.

Uma discrepância de tempo observável na integração do gateway Secure Acceptance Hosted Checkout permite ataques de força bruta. O módulo não verifica corretamente a integridade dos dados retornados pelo provedor de pagamento, o que poderia permitir que um invasor utilize um ataque de temporização para enganar o site, registrando que o pagamento foi recebido mesmo quando não foi.

A neutralização inadequada de entrada durante a geração de páginas web no sub-módulo Slick UI permite Cross-site Scripting (XSS) Armazenado. O problema ocorre porque o módulo não valida suficientemente a entrada do usuário em conjuntos de opções Slick que contenham HTML para botões de carrossel.

Um problema de autorização incorreta permite a navegação forçada (Forceful Browsing). O módulo não valida adequadamente os resultados das transações ao utilizar o gateway de pagamento Payflow Link, permitindo que um usuário mal-intencionado marque transações como concluídas sem realizar o pagamento.

Uma falha de autorização incorreta permite a navegação forçada (Forceful Browsing). O módulo não aplica corretamente o controle de acesso ao renderizar abas de nós e blocos, tratando resultados de acesso neutros como permissões concedidas para abas de nós e plugins de blocos. Além disso, nenhuma verificação de acesso é realizada para blocos personalizados reutilizáveis. Isso permite que usuários sem as permissões adequadas visualizem conteúdo restrito, como nós não publicados ou blocos personalizados reutilizáveis não publicados. O risco é mitigado pelo fato de que o conteúdo exposto é selecionado por um usuário com a permissão `administer quicktabs` durante a configuração.

O tratamento inadequado de diferenciação entre maiúsculas e minúsculas permite a escalada de privilégios. O módulo não garante a correspondência exata dos valores de identidade fornecidos externamente ao armazenar e pesquisar mapeamentos de autenticação sob configurações específicas de colação de banco de dados. Este problema afeta principalmente sites que utilizam certas configurações de colação MySQL ou MariaDB para o armazenamento de mapeamento de autenticação.

A validação insuficiente de certas entradas permite que um invasor realize Server-Side Request Forgery (SSRF), uma técnica na qual o servidor é coagido a fazer requisições não autorizadas a recursos internos ou externos.

Um problema de autorização incorreta permite a navegação forçada ao editar entidades. O módulo não verifica adequadamente os direitos de acesso, permitindo que um usuário mal-intencionado crie requisições para modificar qualquer campo em qualquer entidade. Este problema é mitigado caso o invasor não possua a permissão de função "edit in place field editing permission".

Existe um problema de segurança no projeto Disable Login Page. O projeto está atualmente marcado como não suportado, e o mantenedor não forneceu uma correção para este problema.

Uma falha de autorização permite a navegação forçada ao visualizar imagens usando o formatador de exibição da galeria de imagens photoswipe. O módulo não verifica adequadamente as permissões de acesso, o que pode permitir que usuários não autorizados visualizem imagens que deveriam estar restritas.

Existe um problema onde o módulo não sanitiza adequadamente a marcação passada para os componentes em certos cenários, resultando em Cross-site Scripting (XSS) Armazenado. Cross-site Scripting é uma falha que permite a um invasor injetar scripts maliciosos em páginas da web visualizadas por outros usuários. A exploração requer que o invasor tenha permissões para criar ou atualizar conteúdo renderizado pelo UI Patterns.

A modificação inadequadamente controlada de atributos de objetos determinados dinamicamente permite a Injeção de Objetos. Além disso, o submódulo Render não sanitiza adequadamente o código do template ao renderizar templates Twig inline como parte de modelos sem código, o que pode levar à divulgação de informações. Este problema é mitigado caso o site não esteja executando um modelo ECA que utilize a ação "Render: Twig" em um fluxo de dados.

Uma falha de autorização ausente permite a navegação forçada (Forceful Browsing). O módulo, que permite testar e executar fluxos de trabalho orientados por IA através de uma interface de chat, não aplica permissões adequadamente em certos endpoints. Isso pode permitir que atacantes acionem a execução de fluxos de trabalho, resultando em custos de LLM (Large Language Model) e efeitos colaterais em ferramentas, ou permitam o envio de mensagens para sessões de outros usuários. O problema é mitigado pelo fato de o atacante precisar da permissão "View any session", que não é concedida a usuários anônimos ou autenticados por padrão.

Uma falha de autorização permite a navegação forçada (forceful browsing). O módulo, que permite testar e executar fluxos de trabalho orientados por IA através de uma interface de chat, não reavalia adequadamente as etapas de aprovação humana (human-in-the-loop) quando o fluxo de trabalho itera mais de uma vez. Isso pode resultar na execução de fluxos de trabalho não pretendidos pelo usuário. A exploração requer que o invasor possua a função "Administer FlowDrop workflows" ou permissões equivalentes, como "Create FlowDrop workflows" ou "Edit FlowDrop workflows".