Sascha Grossenbacher

Uma falha de autorização incorreta no Entity API permite a navegação forçada (forceful browsing). O módulo não aplica corretamente os controles de acesso para os endpoints de coleção de entidades do JSON:API, resultando em uma vulnerabilidade de divulgação de informações. Este problema ocorre quando o módulo JSON:API está habilitado em conjunto com o módulo Entity API.

Ocorre cross-site scripting (XSS) armazenado porque o módulo não sanitiza adequadamente os títulos das abas. Isso permite que um invasor insira HTML com atributos específicos em uma página que exibe um navegador de entidades. Cross-site scripting é uma falha onde scripts maliciosos são injetados em sites confiáveis.

Uma falha de autorização no módulo Paragraphs Library permite a navegação forçada (Forceful Browsing). O módulo não restringe adequadamente o acesso a itens de biblioteca não publicados em listas. Isso ocorre quando o módulo `paragraphs library` está ativo e um invasor tem acesso a uma lista de itens da biblioteca, como uma view ou um campo com sugestões de preenchimento automático.

Uma falha de autorização no módulo Paragraphs Library permite a navegação forçada (forceful browsing). O módulo não restringe adequadamente o acesso a parágrafos filhos diretos de itens da biblioteca através de endpoints de API. Este problema é mitigado caso o módulo `paragraphs library` não esteja em uso ou se o acesso geral de escrita a parágrafos por meio de outros módulos for restringido.

Um invasor com permissões de escrita apropriadas no JSON:API poderia, em certas circunstâncias raras, injetar um payload malicioso, resultando em PHP Object Injection. O PHP Object Injection ocorre quando entradas não confiáveis são usadas para instanciar objetos, o que pode permitir que um invasor execute código arbitrário ou manipule a lógica da aplicação. Este problema é explorável apenas se o site utilizar um tipo de campo de referência de entidade que armazene uma propriedade serializada e tiver habilitado o acesso de escrita para o JSON:API, que é somente leitura por padrão.

Existe uma vulnerabilidade de Falsificação de Solicitação Entre Sites (CSRF) no Drupal Currency. Isso permite que atacantes realizem ações em nome de usuários autenticados sem seu conhecimento. O CSRF ocorre quando um site malicioso, e-mail ou outra comunicação induz o navegador de um usuário a enviar uma solicitação para uma aplicação web vulnerável.

O problema está relacionado à neutralização inadequada de entrada durante a geração de páginas web, permitindo ataques de Cross-Site Scripting (XSS). Isso pode permitir que um atacante remoto contorne restrições de segurança e execute ataques de Cross-Site Scripting.

The issue allows attackers to manipulate the generated sorting queries due to an unspecified vulnerability in the fetch function in MDB2.php.