Valery Lourie

Este módulo fornece uma estrutura para integrar provedores e recursos de IA no Drupal. O problema ocorre porque o módulo não sanitiza adequadamente certos atributos HTMX, levando ao Cross-Site Scripting (XSS), onde scripts maliciosos podem ser injetados em páginas da web.

Ocorre Cross-site Scripting (XSS) Armazenado porque o módulo não sanitiza adequadamente os resultados estruturados ao usar configurações de agentes legados. Este problema requer que um invasor execute uma injeção de prompt via conteúdo editorial em sites configurados usando os branches AI 1.0.x e AI Agents 1.0.x com uma configuração incomum.

Uma falha de autorização no submódulo AI Translate permite a navegação forçada (Forceful Browsing). O módulo não verifica adequadamente as permissões de acesso às entidades a serem traduzidas, campos relacionados ou entidades referenciadas ao realizar uma tradução por IA, especialmente quando esses componentes possuem níveis de acesso diferentes da entidade pai. Essa falha de permissão é aplicável apenas à operação de tradução, não concedendo acesso de leitura ou atualização não autorizado às entidades afetadas.

Uma falha de autorização permite a navegação forçada (forceful browsing) no módulo utilizado para tradução automática de entidades. O sistema não verifica adequadamente as permissões de acesso à entidade a ser traduzida, aos campos relacionados ou às entidades referenciadas ao realizar uma tradução por IA, especialmente quando esses componentes possuem níveis de acesso diferentes da entidade pai. Este bypass de permissão é aplicável apenas à operação de tradução, não concedendo acesso de leitura ou atualização não autorizado às entidades afetadas.

Uma falha de autorização ausente permite a navegação forçada (Forceful Browsing). Certas ações do núcleo do Drupal, expostas como ferramentas de agente, não possuem a validação de acesso correta, e algumas ações do núcleo carecem de definições de nível de acesso associadas. Isso permite que um agente utilize ferramentas de ações do núcleo do Drupal ignorando os controles de acesso, desde que o invasor consiga se comunicar com o agente afetado e o site esteja configurado para expor essas ferramentas a usuários não privilegiados.

An incorrect authorization issue exists in Drupal AI (Artificial Intelligence) that allows for resource injection. The module and certain submodules (AI Automators, AI Translate, AI API Explorer, AI Content Suggestions) allow the use of a Large Language Model (LLM) to generate HTML or Markdown, and preview it in a browser. Under specific conditions, rendering this HTML can expose secret communications related to the LLM request.