Akhil Babu

توجد مشكلة في الوحدة الفرعية Canvas AI حيث لا يتم التحقق بشكل كافٍ من ملفات الصور التي يتم تحميلها عبر واجهة برمجة تطبيقات (API) مخصصة لاستخدامها في الدردشة عبر الويب المدعومة بالذكاء الاصطناعي قبل حفظها في الدليل المؤقت. وقد يؤدي هذا الإهمال في التحقق من المدخلات أثناء إنشاء صفحة الويب إلى حدوث هجوم عبر المواقع (XSS)، وهي حالة يتم فيها إدخال نصوص برمجية ضارة إلى مواقع ويب موثوقة.

توجد مشكلة تتمثل في أن وحدة Canvas تسمح بـ «التنفيذ البرمجي عبر المواقع» (XSS) بسبب عدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحة الويب. تتيح الوحدة تحميل ملفات الصور عبر واجهة برمجة تطبيقات (API) مخصصة، لكن قواعد التحقق لا تتحقق سوى من امتداد الملف وتتجاهل نوع MIME للملف (ملحقات البريد الإلكتروني متعددة الأغراض، وهو معيار يشير إلى طبيعة المستند وتنسيقه). وهذا يسمح لمستخدم ضار بتحميل ملفات غير صور. اعتمادًا على تكوين خادم الويب، قد يتم تقديم هذه الملفات بنوع MIME الفعلي الخاص بها، مما يؤدي إلى حدوث XSS أو سلوك غير متوقع آخر.

يؤدي التعطيل غير السليم للمدخلات أثناء إنشاء صفحة الويب إلى السماح بـ «التنفيذ البرمجي عبر المواقع» (XSS). تتيح الوحدة النمطية والوحدات الفرعية المحددة، بما في ذلك «AI Automators» و«AI Translate» و«AI API Explorer» و«AI Content Suggestions»، استخدام «نموذج لغوي كبير» (LLM) لإنشاء HTML أو Markdown لمعاينة المتصفح. في ظل ظروف معينة، قد يؤدي عرض HTML هذا إلى حدوث هجوم XSS أو الكشف عن اتصالات سرية في سياق طلب نموذج اللغة الكبير (LLM). تتطلب هذه المشكلة أن يكون المهاجم قادرًا على إدخال نص في المطالبات لتنفيذ الهجوم.

تسمح مشكلة في عملية المصادقة بالتصفح القسري. تفتقر بعض الإجراءات الأساسية في Drupal، التي يتم عرضها كأدوات للوكلاء، إلى التحقق الصحيح من صحة الوصول، كما تفتقر بعض الإجراءات الأساسية إلى تعريفات مستوى الوصول المرتبطة بها. وهذا يسمح للوكيل باستخدام أدوات الإجراءات الأساسية في Drupal عن طريق تجاوز ضوابط الوصول، شريطة أن يتمكن المهاجم من التواصل مع الوكيل المتأثر وأن يكون الموقع مهيئًا لعرض هذه الأدوات للمستخدمين غير المتمتعين بامتيازات.

يؤدي عدم وجود ترخيص إلى السماح بالتصفح القسري داخل الوحدة النمطية التي توفر نوع الكيان ووقت التشغيل للوكلاء لاستخدام الأدوات. تحدث هذه المشكلة لأن الوحدة النمطية لا تتحقق بشكل كافٍ من الأذونات المطلوبة عندما تقوم إحدى الأدوات بتحميل كيانات المحتوى. يتطلب استغلال هذه الثغرة أن يكون الوكيل قد تم تكوينه لاستخدام الأداة المتأثرة وأن يكون للمهاجم حق الوصول إلى ذلك الوكيل.