Ra Mänd

O módulo implementa a função `hook file download()` para adicionar um cabeçalho Content-Disposition quando a URL de um arquivo contém o parâmetro de consulta `download`. No Drupal 7, retornar um array de cabeçalho não vazio a partir desse hook concede acesso ao arquivo. O módulo não realizou verificações de acesso para arquivos no esquema `temporary://` ou wrappers de stream fornecidos por outros módulos, delegando a outras implementações de `hook file download()` apenas arquivos no esquema privado. Consequentemente, um visitante não autenticado pode recuperar esses arquivos adicionando `download=1` à URL, ignorando os controles de acesso pretendidos.

Existe um problema de autorização inadequada onde usuários com a permissão "edit field collections" podem ignorar os controles de acesso na entidade hospedeira pai. A função `field collection item access()` concede acesso de edição e exclusão a qualquer usuário com essa permissão sem verificar se o usuário possui o acesso necessário à entidade hospedeira, como um nó. Isso permite que um usuário modifique ou remova itens de coleção de campos anexados a uma entidade que ele não tem autorização para editar.

Existem dois vetores de Cross-Site Scripting (XSS) armazenado no pipeline de renderização do widget/formatter. O primeiro vetor ocorre quando o módulo Token está habilitado e os modelos de exibição de token estão configurados, fazendo com que a saída do token controlada pelo invasor, como descrições de termos, seja renderizada sem a sanitização adequada. Isso permite que usuários capazes de editar termos de taxonomia referenciados injetem HTML ou JavaScript. O segundo vetor envolve rótulos de termos de taxonomia que não são devidamente sanitizados antes de serem renderizados no widget, permitindo que usuários com permissão para criar ou editar termos de taxonomia injetem scripts no nome do termo que são executados quando um formulário contendo o widget é visualizado.

Existe um risco de cross-site scripting devido à escape inadequada de texto derivado de termos na saída. Nomes de termos de taxonomia maliciosos podem ser renderizados de forma insegura dependendo do contexto de saída. Os caminhos afetados confirmados incluem a saída do formatador de campo `shs field formatter view()` e a geração de dados de termos filhos da árvore de termos `shs term get children()`.

Existe uma falha no Drupal Protected Pages que permite tentativas de autenticação excessivas, podendo levar a ataques de força bruta. Este problema afeta o módulo Protected Pages.

Nome do software vulnerável e versões afetadas: Versões do Drupal Core 7.0 a 7.101 Descrição: A vulnerabilidade afeta o Drupal Core, permitindo Cross-Site Scripting (XSS) devido à neutralização inadequada de entradas durante a geração da página web. Isso permite que um invasor realize um ataque de cross-site scripting. Recomendações: Para as versões 7.0 a 7.101, atualize para a versão 7.102 ou posterior para resolver o problema. Como solução temporária, considere restringir as entradas do usuário para minimizar o risco de exploração.