Benji Fisher

تسمح مستويات أمان التحكم في الوصول التي تم تكوينها بشكل غير صحيح بتخزين أذونات الرمز (token) في ذاكرة التخزين المؤقت بطريقة تسمح بإعادة استخدامها لرمز مستخدم آخر لديه نفس النطاقات (scopes). يمكن أن يؤدي ذلك إلى اكتساب المستخدم لأذونات غير مصرح بها، بما في ذلك وصول المسؤول. يتطلب الاستغلال استخدام رمز مستخدم أكثر امتيازاً بنفس النطاقات أولاً.

توجد مشكلة في وحدة Link الخاصة بـ Drupal core، والتي توفر نوع حقل لعناوين URL الداخلية والخارجية. تفشل الوحدة في تعقيم بعض العلامات (markup) بشكل كافٍ في ظروف معينة، مما يؤدي إلى ثغرات Cross-Site Scripting (XSS)، وهي حالة يتم فيها حقن نصوص برمجية خبيثة في المواقع الموثوقة.

توجد مشكلة حيث لا يقوم موديل Navigation بتطهير بعض السمات بشكل كافٍ، مما يؤدي إلى حدوث Cross-Site Scripting (XSS)، وهي حالة يتم فيها حقن برمجيات خبيثة في مواقع ويب موثوقة. يتطلب الاستغلال أن يمتلك المهاجم دوراً لديه صلاحية إدخال وسوم HTML تحتوي على سمات بيانات محددة، أو صلاحية `administer menu`.

An incorrect authorization issue allows forceful browsing. The module fails to sufficiently validate transaction results when using the Payflow Link payment gateway, which enables a malicious user to mark transactions as completed without providing payment.

تسمح مشكلة نقص في التفويض في وحدة Image بالتصفح القسري، مما يؤدي إلى الكشف عن المعلومات. تفشل الوحدة في التحقق بشكل كافٍ من الوصول إلى مشتقات أنماط الصور عندما يتم تقديم الملفات عبر دفق ملفات بخلاف `private://`. تحدث هذه المشكلة عندما يتم تكوين دروبال لاستخدام نظام ملفات مساهم به لتقديم الصور المشتقة الخاصة.

يسمح التعديل غير الخاضع للرقابة بشكل صحيح لسمات الكائنات المحددة ديناميكيًا في وحدة Tealium iQ Tag Management بإدخال كائنات. يحدث هذا لأن الحقل `tealiumiq` يخزن البيانات كسلاسل مُسلسلة بلغة PHP؛ وإذا تمت كتابة بيانات ضارة في هذا الحقل، فيمكن تنفيذها عند إلغاء تسلسل البيانات. يتطلب استغلال هذه الثغرة أن يكون لدى المهاجم أذونات لتعديل كيان محتوى مرفق به حقل `tealiumiq`. بالإضافة إلى ذلك، يجب تمكين الوحدة الأساسية `jsonapi` مع الخيار ”قبول جميع عمليات إنشاء وقراءة وتحديث وحذف JSON:API“، أو يجب أن يكون لدى المهاجم طريقة بديلة لتعديل قيم الحقول مباشرةً.

يمكن للمهاجم الذي يمتلك أذونات كتابة مناسبة لـ JSON:API أن يقوم، في بعض الحالات النادرة، بحقن حمولة ضارة، مما يؤدي إلى حدوث «حقن كائنات PHP». يحدث «حقن كائنات PHP» عند استخدام مدخلات غير موثوق بها لإنشاء مثيلات للكائنات، مما قد يسمح للمهاجم بتنفيذ تعليمات برمجية عشوائية أو التلاعب بمنطق التطبيق. لا يمكن استغلال هذه الثغرة إلا إذا كان الموقع يستخدم نوع حقل مرجع الكيان الذي يخزن خاصية متسلسلة، وقام بتمكين حق الوصول للكتابة لـ JSON:API، والذي يكون للقراءة فقط بشكل افتراضي.

توجد مشكلة «حقن الكائنات» في وحدة حقل «Flag attendance» بسبب التحكم غير السليم في تعديل سمات الكائنات التي يتم تحديدها ديناميكيًا. تخزن الوحدة البيانات كسلاسل مُسلسلة بلغة PHP، وإذا تمت كتابة بيانات ضارة مباشرةً في الحقل، فقد يؤدي ذلك إلى حقن كائنات أثناء عملية إلغاء التسلسل. يحدث هذا عندما يكون لدى المهاجم إذن لتعديل كيان محتوى مرفق به حقل `flag attendance field`، وتكون الوحدة الأساسية JSON:API ممكّنة مع خيار قبول جميع عمليات الإنشاء والقراءة والتحديث والحذف، أو إذا كان لدى المهاجم طريقة أخرى لتعديل قيم الحقل مباشرةً.

تدعم وحدة «Media» تقنية oEmbed، التي تستخدم آليتين لاكتشاف عناوين URL: `providers.json` واكتشاف عناوين URL. يمكن استغلال كود اكتشاف عناوين URL لخداع النظام ودفعه إلى إرسال طلبات غير مصرح بها من جانب الخادم إلى أي عنوان URL عشوائي. ويُعرف هذا بـ «تزوير الطلبات من جانب الخادم» (SSRF)، وهو عيب يتيح للمهاجم إجبار الخادم على إرسال طلبات إلى موقع غير مقصود.

تحتوي نواة دروبال على «سلسلة أدوات» (gadget chain)، وهي عبارة عن تسلسل من أجزاء الكود الموجودة التي يمكن استغلالها أثناء عملية إزالة التسلسل (deserialization) للبيانات غير الموثوق بها. على الرغم من أن هذه المشكلة لا يمكن استغلالها بشكل مباشر، إلا أنها يمكن أن تكون وسيلة لتنفيذ تعليمات برمجية عن بُعد أو حقن SQL إذا سمحت ثغرة أمنية منفصلة للمهاجم بتمرير مدخلات غير آمنة إلى دالة `unserialize()`.

يسمح التعديل غير الخاضع للرقابة بشكل صحيح لسمات الكائنات المحددة ديناميكيًا في وحدة Formatter Field بإدخال كائنات (Object Injection). يحدث هذا لأن الوحدة تخزن البيانات كسلاسل مُسلسلة بلغة PHP، وإذا تمت كتابة بيانات ضارة مباشرةً في الحقل، فيمكن تشغيلها أثناء عملية إلغاء التسلسل. يتطلب استغلال هذه الثغرة أن يكون لدى المهاجم أذونات لتحرير كيان محتوى مرفق بحقل `formatter field`. بالإضافة إلى ذلك، يجب تمكين الوحدة النمطية الأساسية JSON:API مع الخيار ”قبول جميع عمليات إنشاء وقراءة وتحديث وحذف JSON:API“، أو يجب أن يكون لدى المهاجم طريقة بديلة لتحرير قيم الحقول مباشرةً.

توجد ثغرة حقن SQL غير مصرح بها في واجهة برمجة تطبيقات تجريد قاعدة البيانات في Drupal Core، وتحديداً ضمن معالج شروط `EntityQuery` الخاص بـ PostgreSQL. تحدث المشكلة عندما يتم دمج مفاتيح مصفوفة PHP التي يتحكم فيها المهاجم، مثل `filter[...][condition][value][malicious key]`، مباشرة في معرفات SQL دون تطهير مناسب. تؤثر هذه الثغرة حصرياً على المواقع التي تستخدم قواعد بيانات PostgreSQL. يمكن للمستخدمين المجهولين عن بُعد استغلال ذلك للوصول الكامل إلى قاعدة البيانات، وتسريب البيانات الحساسة، وتصعيد الامتيازات إلى مسؤول النظام، وربما تنفيذ أوامر shell تعسفية على الخادم المضيف عبر تنفيذ التعليمات البرمجية عن بُعد (RCE) إذا كانت أذونات قاعدة البيانات مهيأة بشكل خاطئ (على سبيل المثال، السماح بـ `COPY FROM PROGRAM`). تم رصد أكثر من 15,000 محاولة هجوم ضد حوالي 6,000 موقع في 65 دولة، وكانت خدمات الألعاب والخدمات المالية هي الأهداف الرئيسية.

لا يقوم تكامل jQuery في نواة دروبال (Drupal) الخاص بمربعات الحوار النوافذية AJAX بتنقية بعض الخيارات بشكل كافٍ، مما قد يؤدي إلى حدوث ثغرة البرمجة عبر المواقع (XSS)، وهي ثغرة يتم من خلالها إدخال نصوص برمجية ضارة إلى مواقع ويب موثوقة.

يسمح Drupal core بـ «حقن الكائنات» (Object Injection) بسبب التعديل غير المراقب بشكل صحيح لسمات الكائنات المحددة ديناميكيًا. تتضمن هذه المشكلة سلسلة أدوات — وهي تسلسل من أجزاء الكود الموجودة — يمكن استغلالها لتنفيذ كود عن بُعد أو حقن SQL إذا قام التطبيق بإلغاء تسلسل بيانات غير موثوق بها عبر دالة `unserialize()` بسبب ثغرة أمنية منفصلة. لا يمكن استغلال هذه المشكلة بشكل مباشر بمفردها.

يوجد عيب في نواة Drupal يتعلق باستخدام ذاكرة التخزين المؤقت لمتصفح الويب التي قد تحتوي على معلومات حساسة. ويحدث ذلك بسبب إعدادات مستويات أمان التحكم في الوصول بشكل غير صحيح.

يوجد عيب في نواة Drupal يسمح بتزوير المحتوى من خلال عرض غير صحيح للمعلومات الحساسة في واجهة المستخدم. تؤثر هذه المشكلة على عرض المحتوى داخل التطبيق.

يوجد ثغرة أمنية في Drupal Protected Pages تسمح بإجراء محاولات مصادقة مفرطة، مما قد يؤدي إلى هجمات القوة الغاشمة. تؤثر هذه المشكلة على الوحدة النمطية Protected Pages.

يوجد خلل في التخويل في Drupal Facets، مما قد يسمح بالتصفح القسري. وترتبط المشكلة بضوابط وصول غير كافية.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: ECA: Event - Condition - Action الإصدارات من 0.0.0 حتى 1.1.12 ECA: Event - Condition - Action الإصدارات من 2.0.0 حتى 2.0.16 ECA: Event - Condition - Action الإصدارات من 2.1.0 حتى 2.1.7 الوصف: تؤثر ثغرة أمنية من نوع «التزوير بين المواقع» (CSRF) على الوحدة النمطية ECA: Event - Condition - Action، مما يسمح بتنفيذ إجراءات غير مصرح بها. التوصيات: بالنسبة للإصدارات من 0.0.0 حتى 1.1.12، قم بالتحديث إلى الإصدار 1.1.12 أو أحدث. بالنسبة للإصدارات من 2.0.0 إلى 2.0.16، قم بالتحديث إلى الإصدار 2.0.16 أو أحدث. بالنسبة للإصدارات من 2.1.0 إلى 2.1.7، قم بالتحديث إلى الإصدار 2.1.7 أو أحدث.

تؤثر هذه المشكلة على RapiDoc OAS Field Formatter، مما يسمح بحدوث هجمات البرمجة النصية عبر المواقع (XSS) بسبب عدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحة الويب.