Cantina_Security

**Nome do Software Vulnerável e Versões Afetadas** Drupal core (versões afetadas não especificadas) **Descrição** Os módulos JSON:API e REST permitem o upload de arquivos de imagem para campos de imagem. As regras de validação verificam a extensão do arquivo, mas não o tipo MIME (Multipurpose Internet Mail Extensions), que é um padrão usado para identificar a natureza e o formato de um documento. Essa falha permite que um usuário mal-intencionado faça o upload de arquivos que não sejam imagens. Dependendo da configuração do servidor web, esses arquivos podem ser servidos com seu tipo MIME real, podendo levar a cross-site scripting (XSS), onde scripts maliciosos são injetados em sites confiáveis, ou a outros comportamentos inesperados. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal core versões 11.3.0 a 11.3.6 **Descrição** O Drupal core contém um problema onde as sugestões de entidade fornecidas durante o processo de adição de um link ao CKEditor 5 não são suficientemente sanitizadas. Isso permite que um usuário mal-intencionado execute um ataque de cross-site scripting (XSS) armazenado contra outros usuários. O cross-site scripting é uma falha na qual uma aplicação inclui dados não confiáveis em uma página web sem a validação adequada, permitindo que invasores executem scripts maliciosos no navegador da vítima. **Recomendações** Atualize para a versão 11.3.7.