Cathy Theys

The Webform Entity Print submodule does not sufficiently limit access to its print templates. A user with permissions to create and edit their own webforms can exploit this to perform cross-site scripting (XSS) within the submodule settings. Approximately 436,400 instances of Drupal were identified globally as potentially exposed.

توجد ثغرة حقن SQL غير مصرح بها في واجهة برمجة تطبيقات تجريد قاعدة البيانات في Drupal Core، وتحديداً ضمن معالج شروط `EntityQuery` الخاص بـ PostgreSQL. تحدث المشكلة عندما يتم دمج مفاتيح مصفوفة PHP التي يتحكم فيها المهاجم، مثل `filter[...][condition][value][malicious key]`، مباشرة في معرفات SQL دون تطهير مناسب. تؤثر هذه الثغرة حصرياً على المواقع التي تستخدم قواعد بيانات PostgreSQL. يمكن للمستخدمين المجهولين عن بُعد استغلال ذلك للوصول الكامل إلى قاعدة البيانات، وتسريب البيانات الحساسة، وتصعيد الامتيازات إلى مسؤول النظام، وربما تنفيذ أوامر shell تعسفية على الخادم المضيف عبر تنفيذ التعليمات البرمجية عن بُعد (RCE) إذا كانت أذونات قاعدة البيانات مهيأة بشكل خاطئ (على سبيل المثال، السماح بـ `COPY FROM PROGRAM`). تم رصد أكثر من 15,000 محاولة هجوم ضد حوالي 6,000 موقع في 65 دولة، وكانت خدمات الألعاب والخدمات المالية هي الأهداف الرئيسية.

يوجد خلل في نظام التفويض في Acquia DAM الخاص بـ Drupal، مما يسمح بالتنقل القسري. وهذا يتيح الوصول غير المصرح به إلى الموارد.

يوجد خلل في التخويل في Drupal Facets، مما قد يسمح بالتصفح القسري. وترتبط المشكلة بضوابط وصول غير كافية.

توجد ثغرة في Drupal Authenticator Login تسمح بتجاوز المصادقة. تتيح هذه الثغرة للمهاجمين تجاوز آليات المصادقة باستخدام مسار أو قناة بديلة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: Drupal Authenticator Login، الإصدارات من 0.0.0 حتى 2.1.3 الوصف: توجد ثغرة أمنية تتمثل في تجاوز المصادقة باستخدام مسار أو قناة بديلة في Drupal Authenticator Login، مما يسمح بتجاوز المصادقة. التوصيات: قم بالتحديث إلى الإصدار 2.1.4 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: Drupal Layout Builder Advanced Permissions، الإصدارات من 0.0.0 إلى 2.1.9 الوصف: يؤدي عدم وجود ترخيص إلى السماح بالتصفح القسري في Drupal Layout Builder Advanced Permissions. التوصيات: قم بالتحديث إلى الإصدار 2.2.0 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: Drupal COOKiES Consent Management، الإصدارات الأقدم من 1.2.16 الوصف: توجد ثغرة أمنية من نوع Cross-Site Scripting (XSS) في Drupal COOKiES Consent Management. وتؤثر هذه الثغرة على الإصدارات التي تستخدم الوحدة الفرعية COOKiES Video. التوصيات: قم بالتحديث إلى الإصدار 1.2.16.

تتعلق المشكلة بـ«التعقيم غير السليم للمدخلات عند إنشاء صفحة الويب»، والمعروف أيضًا باسم «التنفيذ البرمجي عبر المواقع» (XSS). وهذا يسمح بوقوع هجمات «التنفيذ البرمجي عبر المواقع» (XSS).

تؤثر المشكلة على وحدة COOKiES Consent Management، مما يسمح بـ «التنفيذ البرمجي عبر المواقع» (XSS) بسبب عدم معالجة المدخلات بشكل مناسب أثناء إنشاء صفحة الويب.

تتعلق المشكلة بـ ”التعقيم غير السليم للمدخلات أثناء إنشاء صفحة الويب“، والمعروف أيضًا باسم ”التنفيذ البرمجي عبر المواقع“ (XSS)، في Drupal COOKiES Consent Management. وهذا يتيح شن هجمات ”التنفيذ البرمجي عبر المواقع“ (XSS).

تتعلق المشكلة بثغرة أمنية تتعلق بنقص الصلاحيات في Drupal Bookable Calendar، مما يسمح بالتنقل القسري.

تتعلق المشكلة بعدم معالجة المدخلات بشكل كافٍ أثناء إنشاء صفحات الويب، مما يسمح بـ «التنفيذ البرمجي عبر المواقع» (XSS). وهذا يعني أنه من المحتمل أن يتمكن المهاجم من إدخال نصوص برمجية ضارة في صفحات الويب، مما يؤثر على المستخدمين الذين يزورون هذه الصفحات.

تتعلق المشكلة بـ«التعقيم غير السليم للمدخلات أثناء إنشاء صفحات الويب»، والمعروف أيضًا باسم «التنفيذ البرمجي عبر المواقع» (XSS). وهذا يسمح بوقوع هجمات «التنفيذ البرمجي عبر المواقع» (XSS).

تتعلق المشكلة بـ«التعقيم غير السليم للمدخلات أثناء إنشاء صفحة الويب»، والمعروف أيضًا باسم «التنفيذ البرمجي عبر المواقع» (XSS). وهذا يسمح للمهاجم بتنفيذ هجمات «التنفيذ البرمجي عبر المواقع» (XSS).

تؤثر هذه المشكلة على وظيفة الملف الشخصي الخاص.

تتعلق المشكلة بعدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحات الويب، وهو ما يُعرف أيضًا باسم «التنفيذ البرمجي عبر المواقع» (XSS). وهذا يسمح للمهاجم بتنفيذ هجمات «التنفيذ البرمجي عبر المواقع». ترتبط هذه الثغرة الأمنية بفشل في حماية بنية صفحات الويب.

تتعلق المشكلة بثغرة أمنية من نوع تزوير الطلبات عبر المواقع (CSRF) في Drupal Gutenberg، والتي تسمح بتزوير الطلبات عبر المواقع. يمكن لمهاجم عن بُعد استغلال هذه الثغرة لتنفيذ هجوم CSRF.

The issue is related to an incorrect authorization vulnerability in the Drupal Advanced PWA inc Push Notifications module, which allows for forceful browsing. This means that an attacker can bypass security restrictions and perform unauthorized actions. The vulnerability can be exploited remotely.

The issue is related to the insertion of sensitive information into sent data, allowing forceful browsing. This can enable a remote attacker to gain unauthorized access to protected information. The vulnerability is associated with insufficient protection of service data.