Bram Driesen

يحدث تخزين غير آمن للمعلومات الحساسة عندما يتم كتابة ملفات الصوت لطلبات تحويل الكلام إلى نص في ملف واحد داخل الدليل المؤقت ولا يتم حذفها بعد المعالجة. يتيح ذلك للمهاجم الذي يملك صلاحية القراءة للدليل المؤقت للموقع—سواء عبر استضافة مشتركة أو من خلال كود آخر يكشف الملفات المؤقتة—استرجاع البيانات الصوتية التي أرسلها مستخدمون آخرون للنسخ.

توجد ثغرة لتجاوز المصادقة حيث يفشل النموذج في إبطال جلسة CAPTCHA التي تم حلها بشكل كامل. يسمح هذا بإرسال نموذج محمي تم إرساله مرة واحدة بالفعل مرة أخرى دون الحاجة إلى حل تحدٍ جديد. يضعف هذا الخلل الحماية ضد عمليات الإرسال الآلية، بما في ذلك هجمات القوة الغاشمة لتسجيل الدخول، والرسائل المزعجة في التعليقات، وتسجيلات الحسابات الوهمية.

يسمح خطأ في التفويض بالتصفح القسري بسبب عدم التحقق الكافي من الامتيازات الإدارية عند فحص الوصول إلى الحقول المحمية. يتيح ذلك للمستخدمين المعينين لدور يحمل اسم الآلة `administrator` (بشرط ألا يكون محددًا كدور المسؤول الفعلي للموقع) تجاوز قيود الوصول على مستوى الحقل والحصول على صلاحيات عرض وتحرير غير مصرح بها للحقول المحمية.

يوفر هذا النموذج إطار عمل لدمج مزودي وميزات الذكاء الاصطناعي في Drupal. تحدث المشكلة لأن النموذج لا يقوم بتطهير بعض سمات HTMX بشكل كافٍ، مما يؤدي إلى ثغرة Cross-Site Scripting (XSS)، حيث يمكن حقن نصوص برمجية خبيثة في صفحات الويب.

يسمح التخزين غير الآمن للمعلومات الحساسة باسترجاع البيانات الحساسة المضمنة. يفشل النموذج في تشفير كلمة مرور مستخدم النظام المستخدم أثناء مزامنة المحتوى بشكل كافٍ، مما قد يسمح للمستخدمين غير المصرح لهم بعرض كلمة المرور. يتطلب الاستغلال أن يكون لدى المهاجم وصول مسبق للقراءة من قاعدة البيانات أو نسخة احتياطية (dump) من جدول بيانات المستخدم.

تحدث ثغرة تزوير الطلبات عبر المواقع (CSRF) عندما يقوم مستخدم يمتلك صلاحية "Use Fasttoggle" بزيارة صفحة يسيطر عليها المهاجم أثناء تسجيل دخوله. يفشل النموذج في حماية رابط التبديل (toggle URL) بشكل كافٍ، مما يسمح للمهاجم بتغيير حالة نشر محتويات عشوائية نيابة عن ذلك المستخدم.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة بسبب عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب. يفشل المكون الفرعي AI Automator، الذي يتيح ملء الحقول تلقائيًا بناءً على حقول أخرى، في التحقق بشكل كافٍ من صلاحيات الوصول إلى تنسيقات النصوص. يسمح هذا للمستخدمين بكتابة بيانات الحقول بتنسيقات نصوص لا يملكون صلاحية الوصول إليها.

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري. يفشل النموذج في التحقق بشكل كافٍ من أذونات الوصول إلى الكيان الذي يتم تبديله عندما يقوم مستخدم لديه إذن "Use Fasttoggle" بإرسال طلب إلى رابط التبديل. يسمح هذا للمستخدم بتغيير حالة النشر أو الترويج أو التثبيت لأي عقدة أو تعليق، بغض النظر عما إذا كان لديهم الأذونات المطلوبة لتحديث ذلك الكيان المحدد، مما قد يسمح بنشر مسودات غير منشورة غير مصرح لهم بعرضها.

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري، حيث يمكن للمستخدمين الذين لا يملكون الأذونات المطلوبة الوصول إلى نموذج التحديث الجماعي المستخدم لتعيين أو إزالة الأدوار في حسابات مستخدمين متعددة. يتم التخفيف من هذه المشكلة بكون المهاجم يجب أن يمتلك دوراً لديه إذن "administer users".

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري. يفشل النموذج في تقييد الوصول بشكل كافٍ إلى الحقول التي تم تكوينها كـ Private في أنواع الكيانات التي تفتقر إلى حقل للمؤلف (مثل حساب المستخدم أو المالك). نتيجة لذلك، يمكن عرض هذه الحقول الخاصة، وإذا كان الكيان قابلاً للتحرير، فيمكن تعديله من قبل أي مستخدم يمكنه رؤيته، بما في ذلك المستخدمون المجهولون. لا تؤثر هذه المشكلة على الحقول المحددة كـ Private في العقد أو المستخدمين أو الوسائط أو التعليقات أو أنواع الكيانات الأخرى التي لها مؤلف، كما لا تؤثر على الحقول التي تستخدم أذونات مخصصة.

تسمح ثغرة فقدان التفويض بالتصفح القسري وتجاوز التحكم في الوصول. ينبع هذا الخلل من الحماية غير الكافية للمسارات وحقول الكيانات، مما يسمح للمهاجمين غير المصرح لهم بتنفيذ إجراءات مميزة، وتعديل الطلبات، والوصول إلى بيانات دفع العملاء أو معلومات تحديد الهوية الشخصية (PII). يؤثر هذا الأمر على عربة التسوق، وعملية الدفع، ووظائف واجهة برمجة التطبيقات (API). ويُقدر أن أكثر من 42,000 عملية تثبيت قد تأثرت. هناك تأكيدات على وجود استغلال نشط لهذه الثغرة، بما في ذلك حالات طلبات احتيالية على مواقع حقيقية.

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري عند استخدام Drupal Commerce مع وحدة JSON:API. يتيح ذلك للمستخدمين الذين لا يملكون الأذونات المناسبة الوصول إلى تنويعات المنتجات غير المنشورة. تؤثر هذه المشكلة تحديداً على المواقع التي تحتوي على منتجات منشورة وتنويعات منتجات غير منشورة.

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى حدوث ثغرة Cross-Site Scripting (XSS). لا يقوم الموديل بتقييد عرض HTML بشكل كافٍ، مما يسمح بتنفيذ نصوص برمجية خبيثة في ظل ظروف معينة. يتم التخفيف من هذه المشكلة بكون المهاجم يحتاج إلى الوصول إلى تنسيق نصي يمكنه عرض HTML.

تحدث مشكلة في الوحدة الفرعية AI Chatbot عندما لا يتم تصفية إدخالات المستخدم بشكل كافٍ قبل عرضها على صفحة الويب، مما يؤدي إلى حدوث Cross-Site Scripting (XSS). يحدث هذا في ظل تكوينات معينة ويتطلب أن يمتلك المهاجم صلاحيات إدارة الكتل (blocks).

يسمح خطأ في التفويض في وحدة الذكاء الاصطناعي (AI) بحقن الموارد. تفشل الوحدة في التحقق من صحة الروابط بشكل كافٍ في ظل ظروف معينة، مما قد يؤدي إلى تسريب معلومات حساسة إلى مواقع خارجية. يحدث هذا عندما يستخدم المهاجم مصادر غير موثوقة عند التفاعل مع وحدة الذكاء الاصطناعي بطريقة تؤدي إلى إنتاج HTML مُصيّر.

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى حدوث ثغرة Cross-Site Scripting (XSS). لا يقوم الموديل بالتحقق من صحة روابط Markdown بشكل كافٍ في ظل ظروف معينة، مما قد يسمح بتنفيذ برمجيات خبيثة في متصفح المستخدم.

تسمح مستويات التحكم في الوصول التي تم تكوينها بشكل غير صحيح في submódulo AI Search بأن يحتوي ذاكرة التخزين المؤقت لمتصفح الويب على معلومات حساسة. بينما يتحقق backend الخاص بـ AI Search من الوصول لكل نتيجة بحث، يتم تجاهل هذا التحقق عندما يقوم Search API بتخزين نتائج العرض (view) مؤقتًا. نتيجة لذلك، قد يتمكن المستخدمون من رؤية نتائج بحث مخزنة مؤقتًا، مثل العناوين والحقول الخاصة بمحتوى غير منشور أو مقيد الوصول، إذا قام مستخدم لديه الصلاحيات المناسبة بإجراء نفس البحث خلال فترة صلاحية التخزين المؤقت. يحدث هذا عندما يكون submódulo AI Search مفعلًا ويستخدم عرض Search API تخزينًا مؤقتًا للنتائج يعتمد على الوقت، أو العلامات (tags)، أو كليهما.

توجد مشكلة في Drupal Patreon تؤثر على أمن البرنامج.

يوجد خلل في تجاوز المصادقة في وحدة Drupal Domain Login Restrict، المصممة لتقييد تسجيل دخول المستخدمين في المواقع متعددة النطاقات لتقتصر على النطاقات المخصصة لهم فقط. تفشل الوحدة في فرض هذه القيود بشكل كافٍ عندما يقوم المستخدم بالمصادقة عبر طريقة أخرى غير نموذج تسجيل الدخول القياسي. يتطلب الاستغلال أن يمتلك المهاجم حساب مستخدم صالح وأن يكون إعداد "Enable restriction" مفعلًا في صفحة إعدادات Domain. لا يتأثر المستخدمون الذين لديهم إذن "Login to any domain".

يفشل Drupal Shield في تقييد عدد محاولات المصادقة بشكل كافٍ عندما يقوم زائر مجهول بإرسال بيانات اعتماد المصادقة الأساسية بشكل متكرر. يسمح هذا بهجمات القوة الغاشمة (Brute Force) ضد مطالبة المصادقة الأساسية لبروتوكول HTTP المستخدم لحماية المواقع غير العامة من العرض أو الزحف أو الفهرسة. يتم تقليل هذا الخطر في حال استخدام كلمات مرور طويلة ومولدة عشوائياً.