Drew Webber

**Nome do Software Vulnerável e Versões Afetadas** Location Selector versões 0.0.0 a 1.3.0 **Description** Um problema de injeção de SQL existe no módulo Location Selector, que fornece um filtro de Views para selecionar valores de localização. Um filtro de Views específico não sanitiza adequadamente os valores provenientes de entrada do usuário, permitindo a neutralização inadequada de elementos especiais usados em um comando SQL. Este problema é mitigado caso não exista uma View que utilize o filtro afetado e esteja configurada para aceitar entrada do usuário. **Recommendations** Atualize o Location Selector para uma versão posterior à 1.3.0.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI SEO/GEO Analyzer versões 0.0.0 a 1.1.3 **Description** Ocorre Cross-site Scripting (XSS) Armazenado quando o módulo gera relatórios de análise de SEO/GEO enviando o conteúdo de uma entidade, incluindo comentários, para um Large Language Model (LLM). O módulo converte a resposta em Markdown do LLM para HTML e a armazena para usuários privilegiados sem passá-la pelo pipeline de filtragem. Uma injeção de prompt manipulada — onde um invasor insere texto malicioso no conteúdo analisado pelo LLM — pode fazer com que o modelo gere marcações que executam scripts quando o relatório é visualizado. Prompt injection é uma técnica usada para manipular a saída de um LLM fornecendo entradas especificamente elaboradas. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** WissKI versões 0.0.0 a 4.2.0 **Description** Uma falha de autorização no submódulo `wisski mirador` permite a navegação forçada (forceful browsing) e a ignorância de controles de acesso (access bypass). O módulo não valida adequadamente os parâmetros enviados via rota antes de gravá-los no objeto de sessão. **Recommendations** Atualize o WissKI para uma versão posterior à 4.2.0. Restrinja o uso do submódulo `wisski mirador` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Advanced Content Feedback versões 0.0.0 a 2.8.0 **Description** Um problema de autorização incorreta no módulo Advanced Content Feedback permite a navegação forçada (Forceful Browsing). O módulo não verifica adequadamente a autorização sobre o registro de feedback alvo durante o processamento do envio de um comentário. Este problema pode ser explorado por usuários com a permissão "give feedback", que é concedida a usuários anônimos e autenticados por padrão na instalação. **Recommendations** Atualize o Drupal Advanced Content Feedback para uma versão posterior à 2.8.0.

**Nome do Software Vulnerável e Versões Afetadas** Tealium iQ Tag Management versões 0.0.0 a 2.4.0 **Description** A modificação inadequadamente controlada de atributos de objeto determinados dinamicamente no módulo Tealium iQ Tag Management permite a Injeção de Objetos. Isso ocorre porque o campo `tealiumiq` armazena dados como strings serializadas em PHP; se dados maliciosos forem gravados nesse campo, eles podem ser executados quando os dados forem desserializados. A exploração requer que o invasor tenha permissões para editar uma entidade de conteúdo com um campo `tealiumiq` anexado. Além disso, o módulo core `jsonapi` deve estar habilitado com a opção "Accept all JSON:API create, read, update, and delete operations", ou o invasor deve ter outro método para editar os valores dos campos diretamente. **Recommendations** Atualize o Tealium iQ Tag Management para uma versão posterior à 2.4.0. Restrinja as permissões para editar entidades de conteúdo que contenham o campo `tealiumiq`. Desative a opção "Accept all JSON:API create, read, update, and delete operations" no módulo `jsonapi`.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI Agents versões 0.0.0 até 1.1.4 Drupal AI Agents versões 1.2.0 até 1.2.5 Drupal AI Agents versões 1.3.0 até 1.3.1 **Descrição** Um problema de autorização incorreta permite a navegação forçada. Sob certas circunstâncias, o agente herda parâmetros determinísticos ao invocar a mesma ferramenta em uma única requisição, o que pode levar à divulgação de informações. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI versões 0.0.0 through 1.2.17 Drupal AI versões 1.3.0 through 1.3.8 Drupal AI versões 1.4.0 through 1.4.3 **Description** A neutralização inadequada de entrada durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo e submódulos específicos, incluindo AI Automators, AI Translate, AI API Explorer e AI Content Suggestions, permitem o uso de um Large Language Model (LLM) para gerar HTML ou Markdown para visualização no navegador. Sob certas condições, a renderização deste HTML pode levar a XSS ou à exposição de comunicações secretas no contexto da requisição do LLM. Este problema requer que um atacante seja capaz de injetar texto em prompts para executar o ataque. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Geolocation Field versões 0.0.0 a 3.15.0 **Description** Um problema de injeção de SQL existe no módulo Drupal Geolocation Field, que fornece funcionalidade para armazenar coordenadas e suporta views e outros módulos. O problema ocorre porque um dos filtros de views não sanitiza adequadamente os valores quando estes são expostos à entrada do usuário. Isso permite a neutralização inadequada de elementos especiais usados em um comando SQL. O risco é limitado a cenários onde uma view está configurada para usar o filtro afetado e está definida para aceitar entrada do usuário. **Recommendations** Atualize o Drupal Geolocation Field para uma versão posterior à 3.15.0.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI versões 0.0.0 through 1.2.17 Drupal AI versões 1.3.0 through 1.3.8 Drupal AI versões 1.4.0 through 1.4.3 **Description** Uma falha de autorização ausente permite a navegação forçada (Forceful Browsing). Certas ações do núcleo do Drupal, expostas como ferramentas de agente, não possuem a validação de acesso correta, e algumas ações do núcleo carecem de definições de nível de acesso associadas. Isso permite que um agente utilize ferramentas de ações do núcleo do Drupal ignorando os controles de acesso, desde que o invasor consiga se comunicar com o agente afetado e o site esteja configurado para expor essas ferramentas a usuários não privilegiados. **Recommendations** Atualize as versões do Drupal AI 0.0.0 through 1.2.17 para uma versão posterior a 1.2.17. Atualize as versões do Drupal AI 1.3.0 through 1.3.8 para uma versão posterior a 1.3.8. Atualize as versões do Drupal AI 1.4.0 through 1.4.3 para uma versão posterior a 1.4.3.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Commerce Realex / Global Payments versões 0.0.0 a 3.0.2 **Description** Um problema de autorização incorreta permite a navegação forçada (forceful browsing) quando o gateway está configurado com o método de pagamento por redirecionamento. O módulo não verifica adequadamente a autenticidade da resposta de pagamento retornada pelo Global Payments. Isso afeta especificamente o método de pagamento por redirecionamento, enquanto o método lightbox, que valida a assinatura, não é afetado. **Recommendations** Atualize o Drupal Commerce Realex / Global Payments para uma versão posterior à 3.0.2. Como medida de mitigação temporária, evite usar o método de pagamento por redirecionamento e utilize o método de pagamento lightbox.

**Nome do Software Vulnerável e Versões Afetadas** Drupal core (versões afetadas não especificadas) **Description** O Drupal core contém uma gadget chain, que é uma sequência de fragmentos de código existentes que podem ser aproveitados durante a desserialização de dados não confiáveis. Embora este problema não seja diretamente explorável, ele pode servir como um vetor para alcançar a execução remota de código ou injeção de SQL se uma vulnerabilidade separada permitir que um invasor passe entradas inseguras para a função `unserialize()`. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Flag attendance field versões 0.0.0 a 1.2 **Description** Um problema de Injeção de Objeto existe no módulo Flag attendance field devido ao controle inadequado da modificação de atributos de objeto determinados dinamicamente. O módulo armazena dados como strings serializadas em PHP e, se dados maliciosos forem gravados diretamente no campo, isso pode levar à injeção de objeto durante o processo de desserialização. Isso ocorre quando um invasor tem permissão para editar uma entidade de conteúdo com um campo `flag attendance field` anexado e o módulo core JSON:API está habilitado com a opção de aceitar todas as operações de criação, leitura, atualização e exclusão, ou se o invasor possui outro método para editar os valores dos campos diretamente. **Recommendations** Atualize o Flag attendance field para uma versão posterior a 1.2. Restrinja as permissões para editar entidades de conteúdo que contenham o campo `flag attendance field`. Desabilite a opção de aceitar todas as operações de criação, leitura, atualização e exclusão no módulo core JSON:API.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Plotly.js Graphing versões 0.0.0 a 3.0.2 **Description** A modificação inadequadamente controlada de atributos de objeto determinados dinamicamente permite a injeção de objetos. O módulo armazena alguns dados como strings serializadas em PHP e, se dados maliciosos forem gravados diretamente no campo, isso pode levar a uma injeção de objeto durante o processo de desserialização. Este problema exige que o invasor tenha permissão para editar uma entidade de conteúdo com um campo `plotly js graph` anexado. Além disso, o módulo core JSON:API deve estar habilitado com a opção de aceitar todas as operações de criação, leitura, atualização e exclusão, ou o invasor deve possuir outro método para editar os valores dos campos diretamente. **Recommendations** Atualize o Drupal Plotly.js Graphing para uma versão posterior a 3.0.2. Restrinja as permissões para editar entidades de conteúdo que contenham o campo `plotly js graph`. Desative a opção de aceitar todas as operações de criação, leitura, atualização e exclusão no módulo core JSON:API.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Formatter Field versões 0.0.0 a 2.0.0 **Description** A modificação inadequadamente controlada de atributos de objeto determinados dinamicamente no módulo Formatter Field permite a Injeção de Objetos. Isso ocorre porque o módulo armazena dados como strings serializadas em PHP e, se dados maliciosos forem gravados diretamente no campo, a vulnerabilidade pode ser acionada durante o processo de desserialização. A exploração requer que o invasor tenha permissão para editar uma entidade de conteúdo com um campo `formatter field` anexado. Além disso, o módulo core JSON:API deve estar habilitado com a opção "Accept all JSON:API create, read, update, and delete operations", ou o invasor deve possuir outro método para editar os valores dos campos diretamente. **Recommendations** Atualize o Drupal Formatter Field para uma versão posterior à 2.0.0. Restrinja as permissões para editar entidades de conteúdo que utilizam o campo `formatter field`. Desative a opção "Accept all JSON:API create, read, update, and delete operations" no módulo JSON:API.

**Nome do Software Vulnerável e Versões Afetadas** Drupal core (versões afetadas não especificadas) **Description** O módulo Media oferece suporte ao oEmbed, que utiliza dois mecanismos de descoberta: `providers.json` e descoberta via URL. O código de descoberta de URL pode ser explorado para enganar o sistema, fazendo com que ele realize requisições do lado do servidor para qualquer URL arbitrária. Trata-se de um Server-Side Request Forgery (SSRF), uma falha onde um invasor pode forçar um servidor a enviar requisições para um local não pretendido. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal core (versões afetadas não especificadas) **Description** Um invasor com permissões de escrita apropriadas no JSON:API poderia, em certas circunstâncias raras, injetar um payload malicioso, resultando em PHP Object Injection. O PHP Object Injection ocorre quando entradas não confiáveis são usadas para instanciar objetos, o que pode permitir que um invasor execute código arbitrário ou manipule a lógica da aplicação. Este problema é explorável apenas se o site utilizar um tipo de campo de referência de entidade que armazene uma propriedade serializada e tiver habilitado o acesso de escrita para o JSON:API, que é somente leitura por padrão. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Page Builder: Pagelayer versões anteriores a 2.1.0 **Descrição** Existe uma Autorização Incorreta no plugin Page Builder: Pagelayer. O manipulador AJAX `pagelayer save content` permite que usuários com capacidades básicas de edição de postagens persistam metadados `pagelayer contact templates` em postagens que podem editar, incluindo postagens pendentes. Posteriormente, o endpoint não autenticado 'pagelayer contact submit' consome esses metadados usando identificadores de postagem ou formulário controlados pelo usuário, sem impor um limite de contexto privilegiado ou publicado. Isso permite que atacantes autenticados com nível de acesso de Colaborador ou superior configurem modelos de e-mail de formulários de contato arbitrários, que podem então ser acionados via envios de formulários não autenticados através do parâmetro `contacts`. Embora esse recurso de modelo seja tipicamente gerenciado via UI do Pagelayer Pro, o caminho de confiança vulnerável no backend permanece presente. **Recomendações** Atualize o plugin para uma versão posterior a 2.0.9.

**Nome do Software Vulnerável e Versões Afetadas** Quiz and Survey Master (QSM) – Easy Quiz and Survey Maker versões anteriores a 11.1.3 **Descrição** O plugin é suscetível a SQL Injection cego baseado em tempo, uma técnica onde um invasor faz perguntas de verdadeiro/falso ao banco de dados e determina a resposta com base no tempo que o servidor leva para responder. Isso ocorre devido à limpeza insuficiente de parâmetros fornecidos pelo usuário e à falta de preparação adequada da consulta SQL. Atacantes autenticados com acesso de nível de administrador ou superior podem anexar consultas SQL adicionais para extrair informações sensíveis do banco de dados através do parâmetro `order`. Se a chave secreta for exposta, usuários com privilégios inferiores também podem explorar este problema. **Recomendações** Atualize o plugin para uma versão posterior a 11.1.2. Como mitigação temporária, restrinja o acesso ao parâmetro `order` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Basket versões anteriores a 2.1.17 **Description** O módulo Basket, que fornece funcionalidades de e-commerce e checkout para sites Drupal, não sanitiza adequadamente os dados fornecidos pelo usuário antes de serem processados pela função `unserialize()` do PHP. Isso permite que um invasor envie um payload manipulado para disparar a Injeção de Objetos PHP, um processo onde dados não confiáveis são usados para instanciar objetos. Se uma gadget chain viável—uma sequência de fragmentos de código existentes—estiver presente no código do site ou em suas dependências, isso pode resultar na execução de código PHP arbitrário. **Recommendations** Atualize para a versão 2.1.17.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Core versões 8.9.0 até 10.4.9 Drupal Core versões 10.5.0 até 10.5.9 Drupal Core versões 10.6.0 até 10.6.8 Drupal Core versões 11.0.0 até 11.1.9 Drupal Core versões 11.2.0 até 11.2.11 Drupal Core versões 11.3.0 até 11.3.9 **Description** Uma falha de injeção de SQL não autenticada existe na API de abstração de banco de dados do Drupal Core, especificamente no manipulador de condições `EntityQuery` do PostgreSQL. O problema ocorre quando chaves de array PHP controladas pelo invasor, como `filter[...][condition][value][malicious key]`, são concatenadas diretamente em identificadores SQL sem a devida sanitização ou escape. Isso permite que usuários remotos e anônimos executem comandos SQL arbitrários em sites que utilizam bancos de dados PostgreSQL. Os impactos potenciais incluem acesso total ao banco de dados, exfiltração de dados sensíveis e hashes de senhas, escalonamento de privilégios para Administrador e execução remota de código (RCE) se as permissões do banco de dados estiverem mal configuradas (ex: permitindo `COPY FROM PROGRAM`). A exploração no mundo real está ativa, com mais de 15.000 tentativas de ataque detectadas em aproximadamente 6.000 sites em 65 países, atingindo principalmente serviços financeiros e de jogos. **Recommendations** Atualize o Drupal Core para a versão 10.4.10. Atualize o Drupal Core para a versão 10.5.10. Atualize o Drupal Core para a versão 10.6.9. Atualize o Drupal Core para a versão 11.1.10. Atualize o Drupal Core para a versão 11.2.12. Atualize o Drupal Core para a versão 11.3.10. Restrinja as funções de usuário que possuem a capacidade de atualizar modelos Twig via Views ou módulos contribuídos. Direcione o tráfego de produção através de um Web Application Firewall (WAF) para filtrar assinaturas de payloads de arrays aninhados maliciosos. Revise os logs do PostgreSQL e do WAF em busca de consultas incomuns de usuários anônimos ou modificações estruturais de consultas.