El equipo de seguridad de Drupal acaba de lanzar una alerta moderadamente crítica sobre el módulo contribuido TableField.
El módulo contribuido TableField de Drupal nos permite insertar datos tabulados en entidades, introduciendo los datos a través de campos de texto y especificando el número de filas y columnas permitidas por cada entrada. Se ha detectado que el módulo no chequea suficientemente los permisos del usuario a la hora de exportar datos de una tabla a CSV, pudiendo el usuario exportar datos no publicados u otros datos de entidades para las cuales no tiene permiso.
La vulnerabilidad se ve mitigada por el hecho de que un posible atacante debe tener un rol con permisos para "Exportar datos de tablas a CSV". Para solucionar este problema de seguridad se ha publicado la actualización TableField 8.x-2.1 que soluciona el problema, y al cual se recomienda actualizar lo antes posible.
Podemos encontrar toda la información sobre esta alerta de seguridad en el espacio web del Equipo de Seguridad de Drupal.
TableField - Moderately critical - Access bypass - SA-CONTRIB-2019-067 https://t.co/HaQqIymght
— Drupal Security (@drupalsecurity) September 18, 2019