Greg Knaddison

**Nome do Software Vulnerável e Versões Afetadas** Ray Enterprise Translation versões 0.0.0 a 4.0.4 Ray Enterprise Translation versões 4.1.0 a 4.1.4 Ray Enterprise Translation versões 11.0.0 a 11.0.4 **Description** O Cross-Site Request Forgery (CSRF) ocorre quando um módulo falha em proteger rotas administrativas que alteram o estado do sistema. Isso permite que um invasor engane um usuário privilegiado para visitar uma página manipulada para disparar ações não autorizadas, como a atualização de configurações de callback, upload ou download de traduções, ou alteração do estado da tradução. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Login Disable versões 0.0.0 a 2.1.4 **Description** O módulo Login Disable, que restringe o acesso ao site exigindo uma chave secreta no formulário de login, não protege suficientemente o formulário contra ataques de força bruta. Um invasor poderia potencialmente ignorar essa proteção tentando adivinhar a chave secreta, dependendo do comprimento da mesma. Este problema é parcialmente mitigado pelo fato de que o invasor ainda precisa de um nome de usuário e senha válidos para obter acesso. **Recommendations** Atualize o Drupal Login Disable para uma versão posterior à 2.1.4 para habilitar o controle de inundação (flood control) que bloqueia tentativas excessivas de autenticação.

**Nome do Software Vulnerável e Versões Afetadas** ECA: Event - Condition - Action versões 0.0.0 a 2.1.20 ECA: Event - Condition - Action versões 3.0.0 a 3.0.12 ECA: Event - Condition - Action versões 3.1.0 a 3.1.4 **Description** A modificação inadequadamente controlada de atributos de objetos determinados dinamicamente permite a Injeção de Objetos. Além disso, o submódulo Render não sanitiza adequadamente o código do template ao renderizar templates Twig inline como parte de modelos sem código, o que pode levar à divulgação de informações. Este problema é mitigado caso o site não esteja executando um modelo ECA que utilize a ação "Render: Twig" em um fluxo de dados. **Recommendations** Atualize o ECA: Event - Condition - Action para uma versão posterior a 2.1.20. Atualize o ECA: Event - Condition - Action para uma versão posterior a 3.0.12. Atualize o ECA: Event - Condition - Action para uma versão posterior a 3.1.4.

**Nome do Software Vulnerável e Versões Afetadas** Location Selector versões 0.0.0 a 1.3.0 **Description** Um problema de injeção de SQL existe no módulo Location Selector, que fornece um filtro de Views para selecionar valores de localização. Um filtro de Views específico não sanitiza adequadamente os valores provenientes de entrada do usuário, permitindo a neutralização inadequada de elementos especiais usados em um comando SQL. Este problema é mitigado caso não exista uma View que utilize o filtro afetado e esteja configurada para aceitar entrada do usuário. **Recommendations** Atualize o Location Selector para uma versão posterior à 1.3.0.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI SEO/GEO Analyzer versões 0.0.0 a 1.1.3 **Description** Ocorre Cross-site Scripting (XSS) Armazenado quando o módulo gera relatórios de análise de SEO/GEO enviando o conteúdo de uma entidade, incluindo comentários, para um Large Language Model (LLM). O módulo converte a resposta em Markdown do LLM para HTML e a armazena para usuários privilegiados sem passá-la pelo pipeline de filtragem. Uma injeção de prompt manipulada — onde um invasor insere texto malicioso no conteúdo analisado pelo LLM — pode fazer com que o modelo gere marcações que executam scripts quando o relatório é visualizado. Prompt injection é uma técnica usada para manipular a saída de um LLM fornecendo entradas especificamente elaboradas. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal UI Patterns (SDC in Drupal UI) versões 2.0.0 a 2.0.17 **Description** Existe um problema onde o módulo não sanitiza adequadamente a marcação passada para os componentes em certos cenários, resultando em Cross-site Scripting (XSS) Armazenado. Cross-site Scripting é uma falha que permite a um invasor injetar scripts maliciosos em páginas da web visualizadas por outros usuários. A exploração requer que o invasor tenha permissões para criar ou atualizar conteúdo renderizado pelo UI Patterns. **Recommendations** Atualize o Drupal UI Patterns (SDC in Drupal UI) para uma versão posterior à 2.0.17.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Siteimprove Analytics versões 0.0.0 a 2.0.1 **Descrição** A neutralização inadequada de entrada durante a geração de páginas web permite Cross-Site Scripting (XSS). O módulo não sanitiza adequadamente o código de identificação do Siteimprove Analytics ao inserir o código de rastreamento JavaScript. A exploração requer que o invasor possua uma função com a permissão `administer siteimprove analytics`. **Recomendações** Atualize o Drupal Siteimprove Analytics para uma versão posterior à 2.0.1.

**Nome do Software Vulnerável e Versões Afetadas** FlowDrop versões 0.0.0 a 1.6.0 **Description** Uma falha de autorização ausente permite a navegação forçada (Forceful Browsing). O módulo, que permite testar e executar fluxos de trabalho orientados por IA através de uma interface de chat, não aplica permissões adequadamente em certos endpoints. Isso pode permitir que atacantes acionem a execução de fluxos de trabalho, resultando em custos de LLM (Large Language Model) e efeitos colaterais em ferramentas, ou permitam o envio de mensagens para sessões de outros usuários. O problema é mitigado pelo fato de o atacante precisar da permissão "View any session", que não é concedida a usuários anônimos ou autenticados por padrão. **Recommendations** Atualize o FlowDrop para uma versão posterior à 1.6.0. Restrinja a permissão "View any session" para evitar que usuários não autorizados acessem os endpoints afetados.

**Nome do Software Vulnerável e Versões Afetadas** FlowDrop versões 0.0.0 a 1.6.0 **Description** Uma falha de autorização permite a navegação forçada (forceful browsing). O módulo, que permite testar e executar fluxos de trabalho orientados por IA através de uma interface de chat, não reavalia adequadamente as etapas de aprovação humana (human-in-the-loop) quando o fluxo de trabalho itera mais de uma vez. Isso pode resultar na execução de fluxos de trabalho não pretendidos pelo usuário. A exploração requer que o invasor possua a função "Administer FlowDrop workflows" ou permissões equivalentes, como "Create FlowDrop workflows" ou "Edit FlowDrop workflows". **Recommendations** Atualize o FlowDrop para uma versão posterior à 1.6.0.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Commerce Realex / Global Payments versões 0.0.0 a 3.0.2 **Description** Um problema de autorização incorreta permite a navegação forçada (forceful browsing) quando o gateway está configurado com o método de pagamento por redirecionamento. O módulo não verifica adequadamente a autenticidade da resposta de pagamento retornada pelo Global Payments. Isso afeta especificamente o método de pagamento por redirecionamento, enquanto o método lightbox, que valida a assinatura, não é afetado. **Recommendations** Atualize o Drupal Commerce Realex / Global Payments para uma versão posterior à 3.0.2. Como medida de mitigação temporária, evite usar o método de pagamento por redirecionamento e utilize o método de pagamento lightbox.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI Agents versões 0.0.0 até 1.1.4 Drupal AI Agents versões 1.2.0 até 1.2.5 Drupal AI Agents versões 1.3.0 até 1.3.1 **Descrição** Um problema de autorização incorreta permite a navegação forçada. Sob certas circunstâncias, o agente herda parâmetros determinísticos ao invocar a mesma ferramenta em uma única requisição, o que pode levar à divulgação de informações. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal AI versões 0.0.0 through 1.2.17 Drupal AI versões 1.3.0 through 1.3.8 Drupal AI versões 1.4.0 through 1.4.3 **Description** Uma falha de autorização ausente permite a navegação forçada (Forceful Browsing). Certas ações do núcleo do Drupal, expostas como ferramentas de agente, não possuem a validação de acesso correta, e algumas ações do núcleo carecem de definições de nível de acesso associadas. Isso permite que um agente utilize ferramentas de ações do núcleo do Drupal ignorando os controles de acesso, desde que o invasor consiga se comunicar com o agente afetado e o site esteja configurado para expor essas ferramentas a usuários não privilegiados. **Recommendations** Atualize as versões do Drupal AI 0.0.0 through 1.2.17 para uma versão posterior a 1.2.17. Atualize as versões do Drupal AI 1.3.0 through 1.3.8 para uma versão posterior a 1.3.8. Atualize as versões do Drupal AI 1.4.0 through 1.4.3 para uma versão posterior a 1.4.3.

**Nome do Software Vulnerável e Versões Afetadas** WissKI versões 0.0.0 a 4.2.0 **Description** Uma falha de autorização no submódulo `wisski mirador` permite a navegação forçada (forceful browsing) e a ignorância de controles de acesso (access bypass). O módulo não valida adequadamente os parâmetros enviados via rota antes de gravá-los no objeto de sessão. **Recommendations** Atualize o WissKI para uma versão posterior à 4.2.0. Restrinja o uso do submódulo `wisski mirador` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Paragraphs versões 0.0.0 a 1.21.0 **Descrição** Uma falha de autorização no módulo Paragraphs Library permite a navegação forçada (forceful browsing). O módulo não restringe adequadamente o acesso a parágrafos filhos diretos de itens da biblioteca através de endpoints de API. Este problema é mitigado caso o módulo `paragraphs library` não esteja em uso ou se o acesso geral de escrita a parágrafos por meio de outros módulos for restringido. **Recomendações** Atualize o Drupal Paragraphs para uma versão posterior à 1.21.0. Como medida de mitigação temporária, desative o módulo `paragraphs library`.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Paragraphs versões 0.0.0 a 1.21.0 **Description** Uma falha de autorização no módulo Paragraphs Library permite a navegação forçada (Forceful Browsing). O módulo não restringe adequadamente o acesso a itens de biblioteca não publicados em listas. Isso ocorre quando o módulo `paragraphs library` está ativo e um invasor tem acesso a uma lista de itens da biblioteca, como uma view ou um campo com sugestões de preenchimento automático. **Recommendations** Atualize o Drupal Paragraphs para uma versão posterior à 1.21.0. Como mitigação temporária, restrinja o acesso ao módulo `paragraphs library` ou desative views e campos de preenchimento automático que listem itens da biblioteca.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Advanced Content Feedback versões 0.0.0 a 2.8.0 **Description** Um problema de autorização incorreta no módulo Advanced Content Feedback permite a navegação forçada (Forceful Browsing). O módulo não verifica adequadamente a autorização sobre o registro de feedback alvo durante o processamento do envio de um comentário. Este problema pode ser explorado por usuários com a permissão "give feedback", que é concedida a usuários anônimos e autenticados por padrão na instalação. **Recommendations** Atualize o Drupal Advanced Content Feedback para uma versão posterior à 2.8.0.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Advanced Content Feedback versões 0.0.0 a 2.8.0 **Description** Ocorre Cross-site Scripting (XSS) Armazenado quando o módulo não sanitiza adequadamente as mensagens de resposta configuradas pelo administrador. Especificamente, a "Yes response", "No response" e o texto personalizado para respostas "No" podem conter marcações HTML ou scripts que são emitidos como HTML bruto para os visitantes do site. A exploração requer que o atacante possua uma função com a permissão "administer admin feedback". **Recommendations** Atualize o Drupal Advanced Content Feedback para uma versão posterior à 2.8.0. Restrinja a permissão "administer admin feedback" apenas a usuários confiáveis para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Drupal Geolocation Field versões 0.0.0 a 3.15.0 **Description** Um problema de injeção de SQL existe no módulo Drupal Geolocation Field, que fornece funcionalidade para armazenar coordenadas e suporta views e outros módulos. O problema ocorre porque um dos filtros de views não sanitiza adequadamente os valores quando estes são expostos à entrada do usuário. Isso permite a neutralização inadequada de elementos especiais usados em um comando SQL. O risco é limitado a cenários onde uma view está configurada para usar o filtro afetado e está definida para aceitar entrada do usuário. **Recommendations** Atualize o Drupal Geolocation Field para uma versão posterior à 3.15.0.

**Nome do Software Vulnerável e Versões Afetadas** Drupal OpenAI Provider versões 0.0.0 a 1.1.1 Drupal OpenAI Provider versões 1.2.0 a 1.2.2 **Description** A sanitização insuficiente de URLs fornecidas pelo usuário leva a um Server-Side Request Forgery (SSRF), uma falha onde um invasor pode induzir o servidor a fazer requisições para um local não pretendido. A exploração requer que o invasor tenha permissões para modificar a URL do host e a capacidade de gerar imagens geradas por IA. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Drupal core (versões afetadas não especificadas) **Descrição** O controlador frontal `rebuild.php`, utilizado para limpar caches e reconstruir o container quando um site está em uma condição inesperada, não valida corretamente o cabeçalho Host em relação aos padrões de hosts confiáveis. Esta falha pode levar ao envenenamento de cache (cache poisoning), onde o cache é preenchido com uma resposta maliciosa, ou a um redirecionamento aberto, que envia usuários para um domínio controlado por um invasor. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.