Pierre Rudloff

A sanitização insuficiente de entrada e a falta de escape de saída permitem que usuários com nível de acesso de contribuidor ou superior injetem scripts web arbitrários. Isso ocorre porque os valores dos atributos de imagem não são devidamente escapados antes de serem processados no navegador, resultando em Cross-Site Scripting (XSS) Armazenado, onde os scripts são executados quando outro usuário visualiza ou pré-visualiza o conteúdo afetado.

Níveis de segurança de controle de acesso configurados incorretamente permitem o uso de cache de navegador web contendo informações sensíveis. Arquivos podem ser servidos com o cabeçalho HTTP `Cache-Control: public` quando deveriam ser não cacheáveis, potencialmente permitindo que usuários acessem versões em cache de arquivos contendo informações que não têm autorização para ver. Isso ocorre quando um usuário com mais privilégios solicitou anteriormente o arquivo e este permanece no cache.

Existe um problema de segurança no projeto Drupal CacheFlush. O projeto está atualmente marcado como não suportado e o problema permanece não resolvido pelo mantenedor.

Este módulo fornece uma estrutura para integrar provedores e recursos de IA no Drupal. O problema ocorre porque o módulo não sanitiza adequadamente certos atributos HTMX, levando ao Cross-Site Scripting (XSS), onde scripts maliciosos podem ser injetados em páginas da web.

Existe um problema de bypass de autenticação onde o módulo não invalida completamente uma sessão de CAPTCHA resolvida. Isso permite que um formulário protegido que já foi enviado uma vez seja enviado novamente sem a necessidade de resolver um novo desafio. Esta falha enfraquece a proteção contra envios automatizados, incluindo força bruta de login, spam de comentários e registros de spam.

A sanitização de entrada e a escape de saída insuficientes permitem que usuários autenticados com a função de autor ou superior realizem ataques de Stored Cross-Site Scripting. Isso ocorre porque o plugin não impede que elementos de animação em arquivos SVG carregados alterem o alvo de um link para uma URI `javascript:`, ignorando a sanitização. Os scripts web arbitrários injetados são executados em navegadores baseados em WebKit, como o Safari, sempre que um usuário acessa a página afetada.

Uma falha de autorização permite a navegação forçada (Forceful Browsing). O módulo não verifica adequadamente o acesso aos derivados de estilo de imagem quando esses arquivos são servidos via um fluxo de arquivo diferente de `private://`. Este problema é mitigado se o Drupal estiver configurado para usar um esquema de arquivo contribuído para servir imagens derivadas privadas.

Níveis de controle de acesso configurados incorretamente permitem o uso de cache de navegador da web contendo informações sensíveis. O módulo serve respostas de derivativos de imagem WebP com o cabeçalho HTTP `Cache-Control: public` para todos os esquemas de arquivo, exceto o sistema de arquivos privado, incluindo sistemas de arquivos temporários e esquemas personalizados com controle de acesso. Esse comportamento pode fazer com que usuários recebam versões em cache de arquivos contendo informações que não deveriam acessar, especialmente ao usar um cache compartilhado, como Varnish ou um CDN, que respeite o cabeçalho `Cache-Control`. A exploração requer que o site sirva derivativos de imagem de um esquema de arquivo personalizado ou temporário com controle de acesso atrás de tal cache, e o invasor deve conhecer o caminho de um arquivo solicitado anteriormente que ainda esteja no cache.

O Drupal Shield não limita adequadamente o número de tentativas de autenticação quando um visitante anônimo envia repetidamente credenciais de autenticação básica. Isso permite ataques de força bruta contra o prompt de autenticação básica HTTP usado para proteger sites não públicos de serem visualizados, rastreados ou indexados. O risco é reduzido se senhas longas e geradas aleatoriamente forem utilizadas.

Um problema de autorização incorreta no módulo Dopup, que gerencia Webforms, permite a navegação forçada. O módulo não realiza a verificação de acesso à entidade de forma suficiente em alguns casos, podendo expor o título de Webforms privados.

Níveis de controle de acesso configurados incorretamente permitem o uso de cache de navegador web contendo informações sensíveis. O módulo permite a visualização direta de arquivos via aliases de URL, mas alguns arquivos podem ser servidos com o cabeçalho HTTP `Cache-Control: public` quando deveriam ser não cacheáveis. Isso permite que usuários acessem versões em cache de arquivos contendo informações que não deveriam acessar. A exploração requer que um invasor solicite um arquivo acessado anteriormente por um usuário com mais privilégios, enquanto esse arquivo ainda estiver no cache.

Um problema de autorização incorreta permite a navegação forçada. O módulo não verifica adequadamente a delegação de funções durante o processo de aprovação de usuários e oferece um link de Ativação para administradores bloqueados. Além disso, não impede a desativação ou exclusão do usuário 1. A exploração requer que o invasor possua uma função com uma das permissões de ação adicional do módulo.

Existe um problema de Reflexão Insegura onde entradas controladas externamente podem ser usadas para selecionar classes ou código, levando à Injeção de Reflexão. Esta falha permite a execução remota de código. Embora o problema não seja diretamente explorável usando o módulo isoladamente, existem múltiplos caminhos de exploração graves quando combinado com outros módulos contribuídos, incluindo pelo menos um caminho que não requer autenticação. Códigos personalizados também podem expor essa funcionalidade.

Existe um problema em que o módulo Navigation não sanitiza adequadamente certos atributos, levando ao Cross-Site Scripting (XSS), uma condição onde scripts maliciosos são injetados em sites confiáveis. A exploração requer que o invasor possua uma função com permissão para inserir tags HTML contendo atributos de dados específicos ou a permissão `administer menu`.

Um problema de execução remota de código existe no módulo Field UI (`field ui`) do Drupal core. Embora o problema não seja diretamente explorável apenas com a funcionalidade do core, existem múltiplos caminhos de exploração graves através do uso de módulos contribuídos ou código personalizado. Pelo menos um caminho de exploração conhecido permite a execução remota de código sem autenticação. Aproximadamente 151.000 sites estão potencialmente afetados devido ao uso de ramificações obsoletas do CMS. Esta falha pode ser utilizada para realizar movimentação lateral de servidores web comprometidos para a infraestrutura interna.

Uma verificação inadequada de condições incomuns ou excepcionais permite a navegação forçada. O problema ocorre quando o módulo está no modo de Permissão e um nó que referencia um termo de taxonomia excluído é acessado via JSON:API. Isso requer uma configuração específica do módulo e a presença de referências a um termo excluído para ser explorado.

O módulo Webform não sanitiza adequadamente os atributos usados em seu elemento de cor. Isso pode resultar em cross-site scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis, quando o elemento é renderizado. A exploração requer que o invasor adicione um link especialmente criado com uma classe específica na mesma página que o webform afetado. Aproximadamente 436.400 instâncias de Drupal foram identificadas globalmente como alvos potenciais.

Existe um problema no módulo Webform, utilizado para criar formulários e coletar envios. Devido à sanitização inadequada do texto de anúncio utilizado para tecnologias assistivas, entradas especialmente elaboradas podem levar ao cross-site scripting. Aproximadamente 436.400 instâncias de Drupal foram identificadas globalmente como potencialmente expostas. A execução remota de código também é possível.

O módulo Webform contém um elemento de classificação que não valida os dados adequadamente. Essa falha pode permitir cross-site scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis, em páginas que contenham um elemento de classificação. A exploração requer que o invasor seja capaz de inserir marcações HTML manipuladas na mesma página que o elemento de classificação. Aproximadamente 436.300 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.

O módulo Webform não sanitiza adequadamente a configuração do contador de texto antes de passar as opções para a biblioteca jQuery Text Counter incluída. Essa falha permite que marcações de configurações relacionadas ao contador sejam inseridas na página, resultando em cross-site scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis. A exploração requer que o invasor tenha permissões para criar ou editar elementos Webform afetados ou para colocar marcações de contador manipuladas em uma página onde o JavaScript do contador Webform esteja ativo. Aproximadamente 436.300 instâncias de Drupal foram identificadas globalmente como potencialmente expostas.