Zeeshaan Khann

Um problema de autorização incorreta permite a navegação forçada, na qual usuários sem as permissões necessárias podem acessar o formulário de atualização em massa usado para atribuir ou remover funções em várias contas de usuário. Isso é mitigado pelo fato de que um invasor deve possuir uma função com a permissão "administer users".

Um problema de autorização incorreta permite a navegação forçada (Forceful Browsing). O módulo renderiza formulários de adição/edição de entidades dentro de um diálogo AJAX para campos de referência de entidade, mas depende exclusivamente da permissão "access administration pages". O sistema não verifica se o usuário atual possui acesso de criação ou atualização para a entidade específica. Este problema é mitigado caso o invasor não possua uma função com a permissão "access administration pages".

Um problema de autorização incorreta permite a navegação forçada (Forceful Browsing). O módulo fornece uma ação de Gerar links internos para a barra de ferramentas do AI CKEditor, permitindo que editores procurem conteúdo relevante do site para vincular. A consulta de pesquisa não respeita o acesso à entidade ao retornar resultados para o navegador. Este problema é mitigado pelo fato de o usuário precisar de permissão para usar o recurso Gerar links internos do AI CKEditor em um formato de texto.

Uma falha de autorização ausente permite a navegação forçada. O módulo não protege adequadamente o endpoint '/css-usage-analyzer/save' contra envios forjados ou repetidos, o que pode permitir que um scanner de frontend envie medições de uso de CSS não autorizadas para o site.