Damien Mckenna

توجد ثغرة لتجاوز المصادقة حيث يفشل النموذج في إبطال جلسة CAPTCHA التي تم حلها بشكل كامل. يسمح هذا بإرسال نموذج محمي تم إرساله مرة واحدة بالفعل مرة أخرى دون الحاجة إلى حل تحدٍ جديد. يضعف هذا الخلل الحماية ضد عمليات الإرسال الآلية، بما في ذلك هجمات القوة الغاشمة لتسجيل الدخول، والرسائل المزعجة في التعليقات، وتسجيلات الحسابات الوهمية.

تسمح ثغرة فقدان التفويض بالتصفح القسري وتجاوز التحكم في الوصول. ينبع هذا الخلل من الحماية غير الكافية للمسارات وحقول الكيانات، مما يسمح للمهاجمين غير المصرح لهم بتنفيذ إجراءات مميزة، وتعديل الطلبات، والوصول إلى بيانات دفع العملاء أو معلومات تحديد الهوية الشخصية (PII). يؤثر هذا الأمر على عربة التسوق، وعملية الدفع، ووظائف واجهة برمجة التطبيقات (API). ويُقدر أن أكثر من 42,000 عملية تثبيت قد تأثرت. هناك تأكيدات على وجود استغلال نشط لهذه الثغرة، بما في ذلك حالات طلبات احتيالية على مواقع حقيقية.

يسمح التخزين غير الآمن للمعلومات الحساسة باسترجاع البيانات الحساسة المضمنة. يفشل النموذج في تشفير كلمة مرور مستخدم النظام المستخدم أثناء مزامنة المحتوى بشكل كافٍ، مما قد يسمح للمستخدمين غير المصرح لهم بعرض كلمة المرور. يتطلب الاستغلال أن يكون لدى المهاجم وصول مسبق للقراءة من قاعدة البيانات أو نسخة احتياطية (dump) من جدول بيانات المستخدم.

تسمح مستويات أمان التحكم في الوصول التي تم تكوينها بشكل غير صحيح بتخزين أذونات الرمز (token) في ذاكرة التخزين المؤقت بطريقة تسمح بإعادة استخدامها لرمز مستخدم آخر لديه نفس النطاقات (scopes). يمكن أن يؤدي ذلك إلى اكتساب المستخدم لأذونات غير مصرح بها، بما في ذلك وصول المسؤول. يتطلب الاستغلال استخدام رمز مستخدم أكثر امتيازاً بنفس النطاقات أولاً.

توجد مشكلة انعكاس غير آمن (Unsafe Reflection) حيث يمكن استخدام مدخلات يتم التحكم فيها خارجيًا لاختيار فئات أو أكواد، مما يؤدي إلى حقن الانعكاس (Reflection Injection). تسمح هذه الثغرة بتنفيذ رموز عن بُعد. وعلى الرغم من أن المشكلة لا يمكن استغلالها مباشرة باستخدام الوحدة وحدها، إلا أن هناك مسارات استغلال خطيرة متعددة عند دمجها مع وحدات مساهمة أخرى، بما في ذلك مسار واحد على الأقل لا يتطلب مصادقة. قد تؤدي الأكواد المخصصة أيضًا إلى تعريض هذه الوظيفة للخطر.

توجد مشكلة حيث لا يقوم النموذج بتطهير بعض السمات بشكل كافٍ، مما يؤدي إلى حدوث cross-site scripting (XSS)، وهي ثغرة تسمح للمهاجمين بحقن نصوص برمجية خبيثة في صفحات الويب. تم تحديد حوالي 15,300 حالة مصابة عالميًا. يتطلب الاستغلال أن يمتلك المهاجم دورًا لديه إذن لإدخال علامات HTML التي تحتوي على سمات بيانات محددة أو إذن `administer menu`.

يسمح التحقق غير السليم من الظروف غير العادية أو الاستثنائية بالتصفح القسري. تحدث هذه المشكلة عندما يكون النموذج في وضع الإذن ويتم الوصول إلى عقدة تشير إلى مصطلح تصنيف محذوف عبر JSON:API. يتطلب استغلال ذلك تكويناً محدداً للنموذج ووجود إشارات إلى مصطلح محذوف.

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى حدوث ثغرة Cross-Site Scripting (XSS)، وهي حالة يتم فيها حقن برمجيات خبيثة في المواقع الموثوقة. تحدث هذه المشكلة لأن أداة الإكمال التلقائي (autocomplete widget) لا تقوم بتطهير مدخلات المستخدم بشكل كافٍ. لا يمكن أن تحدث هذه الثغرة في التثبيت الافتراضي، بل تتطلب وجود وحدات إضافية أو كود مخصص.

The Webform module fails to sufficiently validate an optional token query value. In specific configurations where a form is rendered for anonymous visitors, a malicious request can cause excessive resource consumption, resulting in a Denial of Service. Approximately 436,400 instances of Drupal were identified globally as potentially exposed.

Insufficient validation of a managed file upload element during the processing of new submissions allows a user with submission access to potentially access other managed files they are not authorized to view. This issue occurs when a site is configured with a Webform containing a managed file upload element and a configuration that exposes submitted files, such as allowing users to view their own submissions or sending uploads as email attachments. Approximately 436,400 instances are identified globally.

When the Webform module is used with JSON:API enabled, submissions may be cached without varying correctly by the authenticated user. This occurs when a webform is configured to allow authenticated users to view their own submissions, potentially causing a request to the JSON:API webform submission collection endpoint to return a cached response generated for a different user. Consequently, an authenticated user may view another user's webform submission data. Approximately 436,300 instances of Drupal were identified globally as potentially exposed. This issue requires JSON:API to be enabled, the affected webform to expose submissions through JSON:API, and the attacker to possess an account with permissions to view their own submissions.

يسمح خلل في التصريح في وحدة Webform Submission Export/Import الفرعية بحدوث تزوير طلبات من جانب الخادم (SSRF)، وهي حالة يمكن للمهاجم من خلالها دفع الخادم إلى إرسال طلبات إلى موقع غير مقصود. تفشل الوحدة الفرعية في التحقق بشكل كافٍ من الوصول إلى وظائف التصدير والاستيراد. وبناءً على ذلك، يمكن للمستخدم الذي يملك صلاحيات تحرير عمليات إرسال نماذج الويب والوصول إلى نتائجها الوصول إلى واجهة الاستيراد، بما في ذلك مسار استيراد URL عن بُعد.

يحدث ثغرة Cross-Site Scripting (XSS) مخزنة عندما لا يقوم الموديول بتقييد الوصول إلى تحرير مصدر نموذج الويب الخام بشكل كافٍ عندما يكون موديول Webform UI غير مفعل. يسمح هذا للمستخدم الذي لديه صلاحيات إنشاء أو تحرير نماذج الويب بإدخال تكوينات مصدر يتم عرضها بشكل غير آمن. XSS المخزن هو خلل أمني حيث يتم تخزين نص برمجى خبيث بشكل دائم على الخادم المستهدف ويتم تنفيذه في متصفح المستخدمين الذين يشاهدون الصفحة المتأثرة.

يحدث تزوير الطلبات عبر المواقع (CSRF) عندما لا يقوم الموديل بالتحقق من صحة طلبات معينة بشكل كافٍ. يسمح هذا للمهاجم بخداع مستخدم مصرح له لتنفيذ إجراءات غير مقصودة. تزوير الطلبات عبر المواقع (CSRF) هو خلل يتسبب فيه موقع ضار بجعل متصفح ويب المستخدم يقوم بإجراء غير مرغوب فيه على موقع آخر يكون المستخدم مصرحًا له بالدخول إليه في ذلك الوقت.

The Webform Share submodule, which allows site builders to expose webforms for embedding on other sites, contains a flaw where submissions for Ajax-enabled webforms can bypass anti-spam protections. This occurs when the webform relies on compatible Form-API-based anti-spam protections, such as Honeypot or Antibot. Approximately 436,400 instances of Drupal were identified globally as potentially exposed.

The Webform module does not sufficiently restrict access to the custom attributes YAML editor. Users with permissions to create or edit webforms, but lacking permissions to edit the webform source, can add custom attributes. This flaw allows for stored cross-site scripting (XSS), a technique where malicious scripts are permanently stored on the target server and served to other users. Approximately 436,300 instances are identified globally.

توجد مشكلة في التصريح غير الصحيح في الوحدة المستخدمة لتقييد الوصول إلى مسارات JSON:API بناءً على أدوار المستخدمين. تفشل الوحدة في فرض ضوابط الوصول بشكل كافٍ عندما تحاكي الطلبات XMLHttpRequest (كائن متصفح يستخدم للتفاعل مع الصفحات دون إعادة تحميلها)، مما يسمح بالتصفح القسري.

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري. يسمح هذا النموذج، الذي يدير الأذونات لكل نوع محتوى عقدة للتحكم في الوصول إلى المحتوى غير المنشور، بالوصول إلى عرض المحتوى المنشور بشكل غير صحيح، مما يتجاوز آليات الوصول الأخرى التي قد تكون قائمة.

تؤدي قيود الوصول غير الكافية في نموذج الحذف إلى إمكانية التصفح القسري (forceful browsing)، وهو ما يحدث عندما يصل المستخدم إلى صفحة أو مورد دون تفويض مناسب. تسمح هذه المشكلة للمستخدمين غير المصرح لهم بحذف عمليات إرسال نماذج الويب بكميات كبيرة باستخدام نطاق تاريخ محدد.

تسمح مشكلة تتعلق بنقص في إجراءات التفويض بالتصفح القسري عند عرض الصور باستخدام مُنسق عرض معرض الصور PhotoSwipe. تفشل الوحدة النمطية في التحقق بشكل كافٍ من أذونات الوصول، مما قد يسمح للمستخدمين غير المصرح لهم بعرض الصور التي ينبغي تقييد الوصول إليها.