Sven Decabooter

O módulo não valida adequadamente os nomes dos estilos de imagem durante a geração de derivados de imagem. Isso permite que usuários anônimos gerem derivados de imagem sem um token válido, o que pode levar à alocação excessiva de recursos e a uma negação de serviço. O problema existe independentemente de os estilos de imagem combinados estarem configurados ou em uso. Isso limita-se a arquivos públicos, pois os derivados de arquivos privados permanecem protegidos pela verificação de token do núcleo.

O módulo não redige adequadamente o conteúdo dos e-mails registrados. Consequentemente, e-mails relacionados à conta são armazenados com seus links de login único intactos. Um invasor com a permissão `View Drupal Symfony Mailer log entries` pode acessar esses links para obter acesso não autorizado a qualquer conta, incluindo a conta administrativa (usuário 1). Isso ocorre porque a permissão não foi marcada como restrita em versões anteriores.

Uma falha de autorização no submódulo AI Translate permite a navegação forçada (Forceful Browsing). O módulo não verifica adequadamente as permissões de acesso às entidades a serem traduzidas, campos relacionados ou entidades referenciadas ao realizar uma tradução por IA, especialmente quando esses componentes possuem níveis de acesso diferentes da entidade pai. Essa falha de permissão é aplicável apenas à operação de tradução, não concedendo acesso de leitura ou atualização não autorizado às entidades afetadas.

Uma falha de autorização permite a navegação forçada (forceful browsing) no módulo utilizado para tradução automática de entidades. O sistema não verifica adequadamente as permissões de acesso à entidade a ser traduzida, aos campos relacionados ou às entidades referenciadas ao realizar uma tradução por IA, especialmente quando esses componentes possuem níveis de acesso diferentes da entidade pai. Este bypass de permissão é aplicável apenas à operação de tradução, não concedendo acesso de leitura ou atualização não autorizado às entidades afetadas.

O tratamento inadequado de diferenciação entre maiúsculas e minúsculas permite a escalada de privilégios. O módulo não garante a correspondência exata dos valores de identidade fornecidos externamente ao armazenar e pesquisar mapeamentos de autenticação sob configurações específicas de colação de banco de dados. Este problema afeta principalmente sites que utilizam certas configurações de colação MySQL ou MariaDB para o armazenamento de mapeamento de autenticação.

Existe uma verificação inadequada para condições incomuns ou excepcionais no core do Drupal, permitindo navegação forçada. Este problema afeta a capacidade do software de lidar com entradas ou situações inesperadas, podendo resultar em acesso não autorizado ou divulgação de informações.

O problema afeta o Drupal core, permitindo Cross-Site Scripting (XSS) devido à neutralização inadequada de entrada durante a geração de páginas web.