Dan Wilga

يسمح التعديل غير الخاضع للرقابة بشكل صحيح لسمات الكائنات المحددة ديناميكيًا في وحدة Drupal Monster Menus بحقن الكائنات. وبشكل محدد، تستخدم الوحدة الفرعية RSS Page دالة `unserialize()` الخاصة بلغة PHP عند معالجة مدخلات نموذج إنشاء العقدة. يتيح ذلك للمهاجم الذي يمتلك صلاحية "RSS Feed: Create new content" حقن كائنات PHP. حقن الكائنات هو حالة يتم فيها تمرير مدخلات غير موثوقة إلى دالة إلغاء التسلسل، مما قد يسمح بتنفيذ تعليمات برمجية عشوائية أو التلاعب بمنطق التطبيق.

Stored Cross-site Scripting (XSS) occurs because the module does not sufficiently sanitize HTML code within the page name when it is displayed in the built-in tree browser. This allows an attacker with the ability to create pages to execute arbitrary JavaScript in the context of a user session. Cross-site Scripting is a flaw where malicious scripts are injected into trusted websites.

تتعلق المشكلة بإلغاء تسلسل البيانات غير الموثوقة، مما يسمح بحقن الكائنات. وقد يتيح ذلك للمهاجم عن بُعد تنفيذ تعليمات برمجية عشوائية.

تتعلق المشكلة بآليات ترخيص غير كافية في وحدة Monster Menus التابعة لنظام إدارة المحتوى (CMS) Drupal، مما يسمح لمهاجم عن بُعد بالكشف عن المعلومات المحمية والاعتداء على سلامة تلك المعلومات. وقد يؤدي ذلك إلى التصفح القسري، حيث يمكن للمهاجم الوصول إلى مناطق غير مصرح بها في النظام.

The issue concerns the recycle bin feature in the Monster Menus module for Drupal, which fails to properly remove nodes from view. This allows remote attackers to obtain sensitive information via an unspecified URL pattern.