Steve Wirt

O Drupal DKAN permite que organizações e indivíduos criem portais de dados abertos. O datastore importa arquivos de dados tabulares para tabelas de banco de dados e os expõe para consulta via uma API JSON. Existe um problema de autorização ausente porque o módulo não verifica corretamente o acesso para todos os seus endpoints, o que pode levar a um bypass de acesso através de forceful browsing (navegação forçada). Este problema só tem impacto em sites que não concedem a permissão "access content" ao perfil anônimo.

Um problema de autorização incorreta permite a navegação forçada (Forceful Browsing). O módulo não limita adequadamente o acesso ao conteúdo do modal e não respeita suficientemente o comportamento padrão de revisão. A exploração requer que o invasor tenha a opção de exibição de modal habilitada para o campo ou conhecimento da rota do modal e do ID da entidade.