Sascha Grossenbacher

**Nome do Software Vulnerável e Versões Afetadas** Entity API versões 0.0.0 a 1.8.0 **Description** Uma falha de autorização incorreta no Entity API permite a navegação forçada (forceful browsing). O módulo não aplica corretamente os controles de acesso para os endpoints de coleção de entidades do JSON:API, resultando em uma vulnerabilidade de divulgação de informações. Este problema ocorre quando o módulo JSON:API está habilitado em conjunto com o módulo Entity API. **Recommendations** Atualize o Entity API para uma versão posterior à 1.8.0. Como medida de mitigação temporária, desabilite o módulo JSON:API para evitar a exploração dos endpoints de coleção de entidades.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Entity Browser versões 0.0.0 a 2.16.0 **Description** Ocorre cross-site scripting (XSS) armazenado porque o módulo não sanitiza adequadamente os títulos das abas. Isso permite que um invasor insira HTML com atributos específicos em uma página que exibe um navegador de entidades. Cross-site scripting é uma falha onde scripts maliciosos são injetados em sites confiáveis. **Recommendations** Atualize o Drupal Entity Browser para uma versão posterior à 2.16.0.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Paragraphs versões 0.0.0 a 1.21.0 **Description** Uma falha de autorização no módulo Paragraphs Library permite a navegação forçada (Forceful Browsing). O módulo não restringe adequadamente o acesso a itens de biblioteca não publicados em listas. Isso ocorre quando o módulo `paragraphs library` está ativo e um invasor tem acesso a uma lista de itens da biblioteca, como uma view ou um campo com sugestões de preenchimento automático. **Recommendations** Atualize o Drupal Paragraphs para uma versão posterior à 1.21.0. Como mitigação temporária, restrinja o acesso ao módulo `paragraphs library` ou desative views e campos de preenchimento automático que listem itens da biblioteca.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Paragraphs versões 0.0.0 a 1.21.0 **Descrição** Uma falha de autorização no módulo Paragraphs Library permite a navegação forçada (forceful browsing). O módulo não restringe adequadamente o acesso a parágrafos filhos diretos de itens da biblioteca através de endpoints de API. Este problema é mitigado caso o módulo `paragraphs library` não esteja em uso ou se o acesso geral de escrita a parágrafos por meio de outros módulos for restringido. **Recomendações** Atualize o Drupal Paragraphs para uma versão posterior à 1.21.0. Como medida de mitigação temporária, desative o módulo `paragraphs library`.

**Nome do Software Vulnerável e Versões Afetadas** Drupal core (versões afetadas não especificadas) **Description** Um invasor com permissões de escrita apropriadas no JSON:API poderia, em certas circunstâncias raras, injetar um payload malicioso, resultando em PHP Object Injection. O PHP Object Injection ocorre quando entradas não confiáveis são usadas para instanciar objetos, o que pode permitir que um invasor execute código arbitrário ou manipule a lógica da aplicação. Este problema é explorável apenas se o site utilizar um tipo de campo de referência de entidade que armazene uma propriedade serializada e tiver habilitado o acesso de escrita para o JSON:API, que é somente leitura por padrão. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Drupal Currency anteriores à 3.5.0 **Descrição** Existe uma vulnerabilidade de Falsificação de Solicitação Entre Sites (CSRF) no Drupal Currency. Isso permite que atacantes realizem ações em nome de usuários autenticados sem seu conhecimento. O CSRF ocorre quando um site malicioso, e-mail ou outra comunicação induz o navegador de um usuário a enviar uma solicitação para uma aplicação web vulnerável. **Recomendações** Atualize o Drupal Currency para a versão 3.5.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do File Entity 7.X-* até 7.X-2.38 **Descrição** O problema está relacionado à neutralização inadequada de entrada durante a geração de páginas web, permitindo ataques de Cross-Site Scripting (XSS). Isso pode permitir que um atacante remoto contorne restrições de segurança e execute ataques de Cross-Site Scripting. **Recomendações** Para as versões 7.X-* até 7.X-2.38, atualize para uma versão superior à 7.X-2.38 para resolver o problema. Como solução temporária, considere restringir o acesso ao módulo File Entity para minimizar o risco de exploração.

**Name of the Vulnerable Software and Affected Versions** PEAR Structures-DataGrid-DataSource-MDB2 versions 0.1.9 and earlier **Description** The issue allows attackers to manipulate the generated sorting queries due to an unspecified vulnerability in the fetch function in MDB2.php. **Recommendations** For versions 0.1.9 and earlier, at the moment, there is no information about a newer version that contains a fix for this vulnerability.