Nguyen Bao

Ocorre Cross-site Scripting (XSS) Armazenado quando o formatador `file uri` não escapa adequadamente os nomes dos arquivos ao renderizar links para arquivos carregados. Isso permite que um invasor com permissões para carregar arquivos em um subcampo de arquivo do Data Field injete scripts maliciosos na página web. Cross-site Scripting é uma falha onde dados não confiáveis são inseridos em uma página web sem a devida validação ou codificação, permitindo a execução de scripts no navegador da vítima.

A neutralização inadequada de entrada durante a geração de páginas web permite a ocorrência de Cross-Site Scripting (XSS). O módulo Address Suggestion, que fornece a funcionalidade de preenchimento automático de endereços por meio de provedores configurados, não sanitiza adequadamente os dados retornados por esses provedores. A exploração requer que um invasor injete conteúdo malicioso nos dados retornados por um provedor de endereços configurado e que um usuário realize uma pesquisa que retorne a sugestão maliciosa.

Dois problemas distintos foram identificados. Primeiro, um módulo projetado para restringir o acesso ao endpoint `/user/login` por meio de uma chave secreta não invalida os caches relevantes ao ser ativado. Isso permite que atacantes acessem a página de login por meio de respostas em cache. Segundo, um módulo que expõe dados estruturados via endpoints JSON não verifica suficientemente as permissões de acesso. Isso permite que usuários anônimos recuperem valores de campos de entidades que não têm autorização para visualizar, como conteúdo não publicado.

Nome do Software Vulnerável e Versões Afetadas: Drupal Paragraphs table versões 2.0.0 a 2.0.4 Descrição: O problema está relacionado à Neutralização Imprópria de Entrada Durante a Geração de Página Web, também conhecida como Cross-Site Scripting (XSS), no Drupal Paragraphs table. Isso permite ataques de Cross-Site Scripting (XSS). Recomendações: Para as versões 2.0.0 a 2.0.4, atualize para a versão 2.0.5 ou posterior para corrigir o problema.

O problema está relacionado à granularidade insuficiente do controle de acesso na tabela Drupal Paragraphs, o que permite a falsificação de conteúdo. Isso pode ser explorado por um invasor remoto para contornar restrições de segurança e obter acesso não autorizado a informações protegidas.