willbesec

Módulo Drupal TFA / Passwordless Login expõe informação sensível em dados enviados

O módulo Two Factor Authentication (TFA) / Passwordless Login do Drupal, até às versões 5.4.1 e 5.5.2, insere informação sensível em dados enviados, o que permite navegação forçada. CVSS 4,3.

  • Identificador: CVE-2026-107268
  • Publicado em: 2026-10-30
  • Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 4.3 (MEDIUM)

Descrição (texto original em inglês):

Insertion of Sensitive Information Into Sent Data vulnerability in Drupal Two Factor Authentication - TFA / Passwordless Login allows Forceful Browsing. This issue affects Two Factor Authentication - TFA / Passwordless Login versions: from 0.0.0 to 5.4.1, from 5.5.0 to 5.5.2.

  • Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
  • Técnica MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application)

Fontes

  1. Registo do CVE no NVDnvd.nist.gov
  2. Referência (www.drupal.org)www.drupal.org
  3. Técnica MITRE ATT&CK T1190attack.mitre.org

Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.