drupal/group - SA-CONTRIB-2023-054
The Group module has the ability to make content private to specific groups. When viewing a list of entities, e.g. nodes, a visitor should only see those entities that are either not attached to a group or that they have group access to.
The module doesn't sufficiently enforce list access under the scenario where two users have the same outsider and insider permissions, but are members of different groups without any individual roles being assigned to said memberships. In such a scenario, the permissions hash for both will be the same even though it should differ.
This vulnerability is mitigated by the fact that an attacker must have the same hash as someone else, which is quite rare yet not unthinkable.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de Composer | drupal/group | >= 2.0.0, < 2.2.2, >= 3.0.0, < 3.2.2 | 2.2.2, 3.2.2 |
| Módulo de Drupal | drupal/group | >= 2.0.0, < 2.2.2, >= 3.0.0, < 3.2.2 | 2.2.2, 3.2.2 |
Referencias
- Debilidad (CWE)
-- Plataforma
- Composer, Drupal
- Paquete
drupal/group- Publicada
- 06.12.2023
- Actualizado
- 11.10.2026 12:18
Fuentes y licencias
OSV / GitHub Advisory Database - DRUPAL-CONTRIB-2023-054 - CC BY-SA 2.0; code GPL-2.0-or-later
Historial de vulnerabilidades: drupal/group
Todas las vulnerabilidades publicadas de este paquete (Módulo de Drupal), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 4
- Primera → última
- 07.2020 12.2023
- Sin corrección
- 1
- Explotada en ataques
- 0
Distribución por gravedad
- Sin evaluar 4
Divulgaciones por año
- 2020: 3
- 2021: 0
- 2022: 0
- 2023: 1
- 2024: 0
- 2025: 0
- 2026: 0
-
drupal/group - SA-CONTRIB-2023-054 esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.