Alex Bronstein

توجد مشكلة في الوحدة الفرعية Canvas AI حيث لا يتم التحقق بشكل كافٍ من ملفات الصور التي يتم تحميلها عبر واجهة برمجة تطبيقات (API) مخصصة لاستخدامها في الدردشة عبر الويب المدعومة بالذكاء الاصطناعي قبل حفظها في الدليل المؤقت. وقد يؤدي هذا الإهمال في التحقق من المدخلات أثناء إنشاء صفحة الويب إلى حدوث هجوم عبر المواقع (XSS)، وهي حالة يتم فيها إدخال نصوص برمجية ضارة إلى مواقع ويب موثوقة.

يحتوي مكون Drupal Canvas على ثغرة في التفويض تسمح بالتصفح القسري لصفحات Canvas عندما تكون غير منشورة. لا يقوم المكون بالتحقق بشكل صحيح من صحة الوصول إلى صفحات Canvas، مما قد يسمح بالوصول غير المصرح به. يتم التخفيف من حدة هذه المشكلة بحقيقة أن مراقبة المحتوى غير ممكّنة بشكل افتراضي وأن الأرشفة ليست إحدى ميزات المكون.

تؤثر هذه المشكلة على Drupal core، مما يسمح بـ Cross-Site Scripting (XSS) بسبب عدم معالجة المدخلات بشكل مناسب أثناء إنشاء صفحات الويب.

A cross-site scripting issue is present in jQuery when making Ajax requests to untrusted domains. This issue requires contributed or custom modules to be exploitable.

A cross-site scripting (XSS) issue in the Autocomplete system allows remote attackers to inject arbitrary web script or HTML via a crafted URL, related to uploading files.