Artem Dmitriiev

يوفر هذا النموذج إطار عمل لدمج مزودي وميزات الذكاء الاصطناعي في Drupal. تحدث المشكلة لأن النموذج لا يقوم بتطهير بعض سمات HTMX بشكل كافٍ، مما يؤدي إلى ثغرة Cross-Site Scripting (XSS)، حيث يمكن حقن نصوص برمجية خبيثة في صفحات الويب.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة بسبب عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب. يفشل المكون الفرعي AI Automator، الذي يتيح ملء الحقول تلقائيًا بناءً على حقول أخرى، في التحقق بشكل كافٍ من صلاحيات الوصول إلى تنسيقات النصوص. يسمح هذا للمستخدمين بكتابة بيانات الحقول بتنسيقات نصوص لا يملكون صلاحية الوصول إليها.

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى حدوث ثغرة Cross-Site Scripting (XSS). لا يقوم الموديل بتقييد عرض HTML بشكل كافٍ، مما يسمح بتنفيذ نصوص برمجية خبيثة في ظل ظروف معينة. يتم التخفيف من هذه المشكلة بكون المهاجم يحتاج إلى الوصول إلى تنسيق نصي يمكنه عرض HTML.

تحدث مشكلة في الوحدة الفرعية AI Chatbot عندما لا يتم تصفية إدخالات المستخدم بشكل كافٍ قبل عرضها على صفحة الويب، مما يؤدي إلى حدوث Cross-Site Scripting (XSS). يحدث هذا في ظل تكوينات معينة ويتطلب أن يمتلك المهاجم صلاحيات إدارة الكتل (blocks).

يسمح خطأ في التفويض في وحدة الذكاء الاصطناعي (AI) بحقن الموارد. تفشل الوحدة في التحقق من صحة الروابط بشكل كافٍ في ظل ظروف معينة، مما قد يؤدي إلى تسريب معلومات حساسة إلى مواقع خارجية. يحدث هذا عندما يستخدم المهاجم مصادر غير موثوقة عند التفاعل مع وحدة الذكاء الاصطناعي بطريقة تؤدي إلى إنتاج HTML مُصيّر.

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى حدوث ثغرة Cross-Site Scripting (XSS). لا يقوم الموديل بالتحقق من صحة روابط Markdown بشكل كافٍ في ظل ظروف معينة، مما قد يسمح بتنفيذ برمجيات خبيثة في متصفح المستخدم.

تسمح مستويات التحكم في الوصول التي تم تكوينها بشكل غير صحيح في submódulo AI Search بأن يحتوي ذاكرة التخزين المؤقت لمتصفح الويب على معلومات حساسة. بينما يتحقق backend الخاص بـ AI Search من الوصول لكل نتيجة بحث، يتم تجاهل هذا التحقق عندما يقوم Search API بتخزين نتائج العرض (view) مؤقتًا. نتيجة لذلك، قد يتمكن المستخدمون من رؤية نتائج بحث مخزنة مؤقتًا، مثل العناوين والحقول الخاصة بمحتوى غير منشور أو مقيد الوصول، إذا قام مستخدم لديه الصلاحيات المناسبة بإجراء نفس البحث خلال فترة صلاحية التخزين المؤقت. يحدث هذا عندما يكون submódulo AI Search مفعلًا ويستخدم عرض Search API تخزينًا مؤقتًا للنتائج يعتمد على الوقت، أو العلامات (tags)، أو كليهما.

يحدث تخزين غير آمن للمعلومات الحساسة عندما يتم كتابة ملفات الصوت لطلبات تحويل الكلام إلى نص في ملف واحد داخل الدليل المؤقت ولا يتم حذفها بعد المعالجة. يتيح ذلك للمهاجم الذي يملك صلاحية القراءة للدليل المؤقت للموقع—سواء عبر استضافة مشتركة أو من خلال كود آخر يكشف الملفات المؤقتة—استرجاع البيانات الصوتية التي أرسلها مستخدمون آخرون للنسخ.

يحدث تزوير الطلبات عبر المواقع (CSRF) عندما يسمح تطبيق الويب للمهاجم بخداع مستخدم مصرح له بتنفيذ إجراءات غير مرغوب فيها. يفشل النموذج في حماية المسارات المستخدمة لحذف وإعادة ترتيب الفقرات بشكل كافٍ، مما يسمح للمهاجم بخداع المحرر لزيارة رابط مصمم خصيصاً لحذف أو إعادة ترتيب الفقرات في عقدة باستخدام صلاحيات المحرر.

تسمح ثغرة في التصريح غير الصحيح بالتصفح القسري (Forceful Browsing). يفشل النموذج في التحقق بشكل كافٍ من أذونات الوصول إلى الحقول عند إضافة عناصر الفقرات أو حذفها أو تحريرها ضمن حقول مراجعات مرجع الكيان. يحدث هذا أثناء قيام المحررين بتعديل المحتوى مباشرة على الصفحة المعروضة. يتطلب الاستغلال أن يمتلك المهاجم دوراً بصلاحيات "access frontend editing" و "add paragraphs" أو "edit paragraphs" أو "delete paragraphs"، بالإضافة إلى امتلاك صلاحية تحديث الكيان الأصل الذي ينتمي إليه الحقل.

يؤدي عدم تحييد العناصر الخاصة المستخدمة في محرك القوالب إلى إمكانية حقن الكود. يفشل النموذج في التخفيف بشكل كافٍ من عمليات حقن قوالب Twig في قواعد معينة، مما يسمح باستخدام وظائف Twig لاستخراج بيانات نظام سرية. Twig هو محرك قوالب للغة PHP يسمح للمطورين بإنشاء HTML من خلال دمج القوالب الثابتة مع البيانات الديناميكية.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة لأن الوحدة لا تقوم بتطهير النتائج المهيكلة بشكل كافٍ عند استخدام إعدادات الوكيل القديمة. تتطلب هذه المشكلة أن يتمكن المهاجم من تنفيذ حقن للأوامر (prompt injection) عبر المحتوى التحريري في المواقع التي تم إعدادها باستخدام فروع AI 1.0.x و AI Agents 1.0.x بتكوين غير شائع.

يوجد خلل في التفويض في وحدة AI Translate الفرعية يسمح بالتصفح القسري (Forceful Browsing). يفشل النموذج في التحقق بشكل كافٍ من صلاحيات الوصول إلى الكيانات المراد ترجمتها، أو الحقول ذات الصلة، أو الكيانات المرجعية عند إجراء ترجمة بواسطة الذكاء الاصطناعي، خاصة عندما يكون لهذه المكونات مستويات وصول مختلفة عن الكيان الأساسي. يقتصر هذا التجاوز في الصلاحيات على عملية الترجمة فقط، ولا يمنح صلاحيات قراءة أو تحديث غير مصرح بها للكيانات المتأثرة.

يسمح خلل في التفويض بالتصفح القسري (forceful browsing) ضمن الوحدة المستخدمة للترجمة التلقائية للكيانات. يفشل النظام في التحقق بشكل كافٍ من صلاحيات الوصول إلى الكيان المراد ترجمته، أو الحقول ذات الصلة، أو الكيانات المرجعية عند إجراء ترجمة بواسطة الذكاء الاصطناعي، خاصة عندما يكون لهذه المكونات مستويات وصول مختلفة عن الكيان الأساسي. يقتصر هذا التجاوز في الصلاحيات على عملية الترجمة فقط، ولا يمنح صلاحيات قراءة أو تحديث غير مصرح بها للكيانات المتأثرة.

يؤدي عدم وجود ترخيص إلى السماح بالتصفح القسري داخل الوحدة النمطية التي توفر نوع الكيان ووقت التشغيل للوكلاء لاستخدام الأدوات. تحدث هذه المشكلة لأن الوحدة النمطية لا تتحقق بشكل كافٍ من الأذونات المطلوبة عندما تقوم إحدى الأدوات بتحميل كيانات المحتوى. يتطلب استغلال هذه الثغرة أن يكون الوكيل قد تم تكوينه لاستخدام الأداة المتأثرة وأن يكون للمهاجم حق الوصول إلى ذلك الوكيل.

يؤدي عدم تطهير عناوين URL التي يقدمها المستخدم بشكل كافٍ إلى حدوث تزوير طلبات من جانب الخادم (SSRF)، وهو عيب يتيح للمهاجم حث الخادم على إرسال طلبات إلى موقع غير مقصود. ويتطلب استغلال هذه الثغرة أن يكون لدى المهاجم أذونات لتعديل عنوان URL للمضيف والقدرة على إنشاء صور بواسطة الذكاء الاصطناعي.

يؤدي التعطيل غير السليم للمدخلات أثناء إنشاء صفحة الويب إلى السماح بـ «التنفيذ البرمجي عبر المواقع» (XSS). تتيح الوحدة النمطية والوحدات الفرعية المحددة، بما في ذلك «AI Automators» و«AI Translate» و«AI API Explorer» و«AI Content Suggestions»، استخدام «نموذج لغوي كبير» (LLM) لإنشاء HTML أو Markdown لمعاينة المتصفح. في ظل ظروف معينة، قد يؤدي عرض HTML هذا إلى حدوث هجوم XSS أو الكشف عن اتصالات سرية في سياق طلب نموذج اللغة الكبير (LLM). تتطلب هذه المشكلة أن يكون المهاجم قادرًا على إدخال نص في المطالبات لتنفيذ الهجوم.

تسمح مشكلة في عملية المصادقة بالتصفح القسري. تفتقر بعض الإجراءات الأساسية في Drupal، التي يتم عرضها كأدوات للوكلاء، إلى التحقق الصحيح من صحة الوصول، كما تفتقر بعض الإجراءات الأساسية إلى تعريفات مستوى الوصول المرتبطة بها. وهذا يسمح للوكيل باستخدام أدوات الإجراءات الأساسية في Drupal عن طريق تجاوز ضوابط الوصول، شريطة أن يتمكن المهاجم من التواصل مع الوكيل المتأثر وأن يكون الموقع مهيئًا لعرض هذه الأدوات للمستخدمين غير المتمتعين بامتيازات.

توجد مشكلة في عملية المصادقة في Drupal AI (الذكاء الاصطناعي) تسمح بحقن الموارد. تسمح الوحدة النمطية وبعض الوحدات الفرعية (AI Automators، AI Translate، AI API Explorer، AI Content Suggestions) باستخدام نموذج لغوي كبير (LLM) لإنشاء HTML أو Markdown، ومعاينته في المتصفح. في ظل ظروف معينة، قد يؤدي عرض هذا HTML إلى الكشف عن اتصالات سرية متعلقة بطلب LLM.