PT-2022-8504 · Drupal · Drupal Core Json:Api Module

Brad Jones · Publicado 2022-02-11 · Atualizado 2024-03-06 · CVE-2020-13677

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Módulo JSON:API do núcleo do Drupal (versões afetadas não especificadas)

Descrição

O problema ocorre quando o módulo JSON:API do núcleo do Drupal não consegue restringir adequadamente o acesso a determinados conteúdos em circunstâncias específicas, o que pode levar a uma contornamento não intencional das restrições de acesso. É importante observar que os sites que não têm o módulo JSON:API ativado não são afetados.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Incorrect Authorization

Improper Access Control

Enumeração de Fraquezas

CWE-863

CWE-284

Identificadores relacionados

BIT-DRUPAL-2020-13677

CVE-2020-13677

DRUPAL-CORE-2021-010

GHSA-3XR3-PHJP-G6P2

Produtos afetados

Drupal Core Json:Api Module

Referências · 12

• https://github.com/drupal/core · Nota
• https://github.com/drupal/core/commit/7a9bef4b4750d79ab42498e459012cabe4c4bd8b · Nota
• https://t.me/cvenotify/58914 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-13677 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-13677 · Nota de Segurança
• https://drupal.org/sa-core-2021-010 · Aviso do Fabricante
• https://t.me/cvenotify/26977 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-drupal-2020-13677 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2020-13677 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-3xr3-phjp-g6p2 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-13677 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-13677 · Aviso do Fabricante