Reverse Proxy Header - Less critical - Access bypass - SA-CONTRIB-2025-111

O módulo Reverse Proxy Header do Drupal não valida adequadamente os cabeçalhos vindos de proxies reversos, permitindo que atacantes manipulem informações de usuário se conseguirem controlar esses cabeçalhos. Isso pode levar a acesso não autorizado ou falsificação de identidade em certas configurações.

A vulnerabilidade decorre da validação insuficiente de cabeçalhos HTTP (CWE-1288) passados através de um proxy reverso, permitindo que atacantes que consigam controlar ou injetar cabeçalhos de proxy manipulem variáveis controladas pelo usuário. Um atacante com acesso à rede para injetar cabeçalhos de proxy reverso pode contornar controles de acesso ou falsificar a identidade do usuário em versões anteriores a 1.1.2.