Alex Bronstein

**Nome do Software Vulnerável e Versões Afetadas** Drupal Canvas versões 0.0.0 a 1.4.2 Drupal Canvas versões 1.5.0 a 1.5.2 Drupal Canvas versões 1.6.0 a 1.6.1 Drupal Canvas versões 1.7.0 a 1.7.1 **Description** Existe um problema no submódulo Canvas AI onde arquivos de imagem carregados via uma API personalizada para uso no chat web de IA não são suficientemente validados antes de serem salvos no diretório temporário do Drupal. Essa neutralização inadequada de entrada durante a geração de páginas web pode levar ao Cross-Site Scripting (XSS), uma condição onde scripts maliciosos são injetados em sites confiáveis. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Drupal Canvas anteriores à 1.0.4 **Descrição** O módulo Drupal Canvas possui uma falha de autorização que permite a navegação forçada de Páginas do Canvas quando elas não estão publicadas. O módulo não valida adequadamente o acesso às Páginas do Canvas, potencialmente permitindo acesso não autorizado. Isso é mitigado pelo fato de que a moderação de conteúdo não está habilitada por padrão e o arquivamento não é um recurso do módulo. **Recomendações** Atualize para a versão 1.0.4 ou posterior do Drupal Canvas.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Drupal core 8.0.0 até 10.3.13 Versões do Drupal core 10.4.0 até 10.4.4 Versões do Drupal core 11.0.0 até 11.0.12 Versões do Drupal core 11.1.0 até 11.1.4 **Descrição** O problema afeta o Drupal core, permitindo Cross-Site Scripting (XSS) devido à neutralização inadequada de entrada durante a geração de páginas web. **Recomendações** Para as versões 8.0.0 até 10.3.13, atualize para a versão 10.3.14 ou posterior. Para as versões 10.4.0 até 10.4.4, atualize para a versão 10.4.5 ou posterior. Para as versões 11.0.0 até 11.0.12, atualize para a versão 11.0.13 ou posterior. Para as versões 11.1.0 até 11.1.4, atualize para a versão 11.1.5 ou posterior.

**Name of the Vulnerable Software and Affected Versions** Drupal versions prior to 8.4.0 Drupal 7 versions prior to 7.57 **Description** A cross-site scripting issue is present in jQuery when making Ajax requests to untrusted domains. This issue requires contributed or custom modules to be exploitable. **Recommendations** For Drupal 8 versions prior to 8.4.0, update to Drupal 8.4.0 or later to resolve the issue. For Drupal 7 versions prior to 7.57, update to Drupal 7.57 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Drupal versions 6.x through 6.36 Drupal versions 7.x through 7.38 **Description** A cross-site scripting (XSS) issue in the Autocomplete system allows remote attackers to inject arbitrary web script or HTML via a crafted URL, related to uploading files. **Recommendations** For Drupal 6.x, update to version 6.37 or later. For Drupal 7.x, update to version 7.39 or later. As a temporary workaround, consider restricting access to the file upload functionality until a patch is available.