Samuel Mortenson

**Nome do Software Vulnerável e Versões Afetadas** Versões do Drupal core 8.0.0 até 10.3.13 Versões do Drupal core 10.4.0 até 10.4.4 Versões do Drupal core 11.0.0 até 11.0.12 Versões do Drupal core 11.1.0 até 11.1.4 **Descrição** O problema afeta o Drupal core, permitindo Cross-Site Scripting (XSS) devido à neutralização inadequada de entrada durante a geração de páginas web. **Recomendações** Para as versões 8.0.0 até 10.3.13, atualize para a versão 10.3.14 ou posterior. Para as versões 10.4.0 até 10.4.4, atualize para a versão 10.4.5 ou posterior. Para as versões 11.0.0 até 11.0.12, atualize para a versão 11.0.13 ou posterior. Para as versões 11.1.0 até 11.1.4, atualize para a versão 11.1.5 ou posterior.

**Nome do software vulnerável e versões afetadas** Versões 1.x do Twig anteriores à 1.44.7 Versões 2.x do Twig anteriores à 2.15.3 Versões 3.x do Twig anteriores à 3.4.3 **Descrição** O problema ocorre quando o carregador do sistema de arquivos carrega modelos cujo nome é fornecido pelo usuário. É possível usar a instrução `source` ou `include` para ler arquivos arbitrários de fora do diretório dos modelos ao usar um namespace como `@somewhere/../some.file`. Nesse caso, a validação é contornada. **Recomendações** Para versões 1.x anteriores à 1.44.7, atualize para a versão 1.44.7 ou posterior. Para versões 2.x anteriores à 2.15.3, atualize para a versão 2.15.3 ou posterior. Para versões 3.x anteriores à 3.4.3, atualize para a versão 3.4.3 ou posterior. Como solução temporária, considere restringir o uso das instruções `source` e `include` com nomes de modelos inseridos pelo usuário até que um patch esteja disponível.

**Nome do software vulnerável e versões afetadas** Drupal (versões afetadas não especificadas) **Descrição** O problema está relacionado ao módulo Quick Edit no sistema de gerenciamento de conteúdo Drupal, que não verifica adequadamente o acesso às entidades em algumas circunstâncias. Isso pode fazer com que usuários com permissão para “edição no local” visualizem algum conteúdo ao qual não têm autorização de acesso. Os sites só são afetados se o módulo QuickEdit estiver instalado. **Recomendações** Para sites Drupal com o módulo QuickEdit instalado, considere restringir o acesso à funcionalidade Quick Edit até que uma correção adequada seja aplicada. Como solução temporária, revise e ajuste as permissões relacionadas a “acesso à edição no local” para minimizar o risco de acesso não autorizado ao conteúdo. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do Drupal Core anteriores à 9.0.8 Versões do Drupal Core anteriores à 8.9.9 Versões do Drupal Core anteriores à 8.8.11 Versões do Drupal Core anteriores à 7.74 **Descrição** O problema está relacionado à sanitização inadequada de certos nomes de arquivos em arquivos enviados, o que pode levar a que os arquivos sejam interpretados com extensão incorreta e servidos com o tipo MIME errado ou executados como PHP em determinadas configurações de hospedagem. Isso pode permitir que um invasor remoto execute código PHP arbitrário no servidor. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi especificado. **Recomendações** Para versões do Drupal Core anteriores à 9.0.8, atualize para a versão 9.0.8 ou posterior. Para versões do Drupal Core anteriores à 8.9.9, atualize para a versão 8.9.9 ou posterior. Para versões do Drupal Core anteriores à 8.8.11, atualize para a versão 8.8.11 ou posterior. Para versões do Drupal Core anteriores à 7.74, atualize para a versão 7.74 ou posterior. Como solução temporária, considere restringir o upload de arquivos para minimizar o risco de exploração. Evite usar a funcionalidade de upload de arquivos vulnerável até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Versões do Drupal Core anteriores à 7.73 Versões do Drupal Core 8.8.x anteriores à 8.8.10 Versões do Drupal Core 8.9.x anteriores à 8.9.6 Versões do Drupal Core 9.0.x anteriores à 9.0.6 **Descrição** O problema está relacionado a uma vulnerabilidade de cross-site scripting no Drupal Core, na qual a API AJAX do Drupal não desativa o JSONP por padrão, permitindo um ataque XSS. Isso pode afetar a integridade dos dados. **Recomendações** Para versões anteriores à 7.73, atualize para a versão 7.73 ou posterior. Para versões 8.8.x anteriores à 8.8.10, atualize para a versão 8.8.10 ou posterior. Para versões 8.9.x anteriores à 8.9.6, atualize para a versão 8.9.6 ou posterior. Para versões 9.0.x anteriores à 9.0.6, atualize para a versão 9.0.6 ou posterior.

**Nome do software vulnerável e versões afetadas** Drupal Core (versões afetadas não especificadas) **Descrição** O problema está relacionado à autenticação insuficiente de solicitações executadas no sistema CMS Drupal. Ele pode ser explorado por um invasor remoto para executar código arbitrário. Além disso, existe uma vulnerabilidade de falsificação de solicitação entre sites (Cross Site Request Forgery) na API de formulários do Drupal Core, que não lida adequadamente com certas entradas de formulário provenientes de solicitações entre sites, o que pode levar a outras vulnerabilidades. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** GitLab Community and Enterprise Edition versions 8.1 through 12.2.1 **Description** An issue was discovered where certain areas displaying Markdown were not properly sanitizing some XSS payloads. **Recommendations** For GitLab Community and Enterprise Edition versions 8.1 through 12.2.1, update to a version that contains a fix for this issue.

**Name of the Vulnerable Software and Affected Versions** Drupal 8 versions prior to 8.3.4 **Description** The issue arises from improper validation of certain fields when manipulating files through the file REST resource. This affects sites with the RESTful Web Services (rest) module enabled, where the file REST resource is enabled and allows PATCH requests. An attacker must have the ability to get or register a user account on the site with permissions to upload files and to modify the file resource. **Recommendations** For versions prior to 8.3.4, update to version 8.3.4 or later to resolve the issue. As a temporary workaround, consider disabling the file REST resource or restricting access to it until the update can be applied. Additionally, restrict permissions to upload files and modify the file resource to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** Drupal 8 versions prior to 8.2.8 Drupal 8.3 versions prior to 8.3.1 **Description** The issue allows critical access bypass by authenticated users if the RESTful Web Services (rest) module is enabled and the site allows PATCH requests. **Recommendations** For Drupal 8 versions prior to 8.2.8, update to version 8.2.8 or later. For Drupal 8.3 versions prior to 8.3.1, update to version 8.3.1 or later.

**Name of the Vulnerable Software and Affected Versions** Drupal versions 8.2.x before 8.2.7 **Description** The issue affects some administrative paths that did not include protection for CSRF, allowing an attacker to disable certain blocks on a site. This is mitigated by the requirement for an attacker to know the block ID. **Recommendations** For versions 8.2.x before 8.2.7, update to version 8.2.7 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Drupal versions prior to 7.41 jQuery Update module versions prior to 7.x-2.7 for Drupal LABjs module versions prior to 7.x-1.8 for Drupal **Description** The issue allows remote attackers to redirect users to arbitrary web sites and conduct phishing attacks. This is due to an incomplete fix for a previous issue. **Recommendations** For Drupal versions prior to 7.41, update to version 7.41 or later. For jQuery Update module versions prior to 7.x-2.7, update to version 7.x-2.7 or later. For LABjs module versions prior to 7.x-1.8, update to version 7.x-1.8 or later.