Stephen Mustgrave

Existe um problema em que o módulo não valida suficientemente as URLs de arquivos em busca de conteúdo malicioso durante a recuperação de fallback. Isso leva ao Cross-Site Scripting (XSS), uma condição em que scripts maliciosos são injetados em sites confiáveis. A exploração requer que o módulo esteja habilitado no site alvo e que o invasor tenha a capacidade de fazer upload de um arquivo malicioso para o servidor de origem configurado.

Níveis de segurança de controle de acesso configurados incorretamente permitem o uso de cache de navegador web contendo informações sensíveis. Arquivos podem ser servidos com o cabeçalho HTTP `Cache-Control: public` quando deveriam ser não cacheáveis, potencialmente permitindo que usuários acessem versões em cache de arquivos contendo informações que não têm autorização para ver. Isso ocorre quando um usuário com mais privilégios solicitou anteriormente o arquivo e este permanece no cache.

Níveis de controle de acesso configurados incorretamente permitem o uso de cache de navegador web contendo informações sensíveis. O módulo permite a visualização direta de arquivos via aliases de URL, mas alguns arquivos podem ser servidos com o cabeçalho HTTP `Cache-Control: public` quando deveriam ser não cacheáveis. Isso permite que usuários acessem versões em cache de arquivos contendo informações que não deveriam acessar. A exploração requer que um invasor solicite um arquivo acessado anteriormente por um usuário com mais privilégios, enquanto esse arquivo ainda estiver no cache.

Ocorre Cross-site Scripting (XSS) Armazenado porque os templates twig não sanitizam adequadamente os valores passados para sua marcação. Este problema requer que o invasor possua uma função que permita a edição de conteúdo usando os bundles de parágrafos fornecidos pelo módulo.

A modificação inadequadamente controlada de atributos de objeto determinados dinamicamente permite a injeção de objetos. O módulo armazena alguns dados como strings serializadas em PHP e, se dados maliciosos forem gravados diretamente no campo, isso pode levar a uma injeção de objeto durante o processo de desserialização. Este problema exige que o invasor tenha permissão para editar uma entidade de conteúdo com um campo `plotly js graph` anexado. Além disso, o módulo core JSON:API deve estar habilitado com a opção de aceitar todas as operações de criação, leitura, atualização e exclusão, ou o invasor deve possuir outro método para editar os valores dos campos diretamente.

O problema está relacionado à alocação de recursos sem limites ou controle de taxa no Drupal Events Log Track, permitindo alocação excessiva.

O problema está relacionado à alocação de recursos sem limites ou controle de taxa no Drupal Stage File Proxy, permitindo inundação.

O problema está relacionado à Neutralização Imprópria de Entrada Durante a Geração de Página Web, também conhecida como Cross-site Scripting (XSS), no módulo baguetteBox.Js para Drupal. Isso possibilita ataques de Cross-Site Scripting (XSS).