Dave Long

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى حدوث ثغرة Cross-Site Scripting (XSS). يفشل النموذج في التحقق بشكل كافٍ من إعدادات الأيقونات التي يقدمها المستخدمون قبل عرضها.

توجد مشكلة حيث لا يقوم النموذج بتطهير بعض السمات بشكل كافٍ، مما يؤدي إلى حدوث cross-site scripting (XSS)، وهي ثغرة تسمح للمهاجمين بحقن نصوص برمجية خبيثة في صفحات الويب. تم تحديد حوالي 15,300 حالة مصابة عالميًا. يتطلب الاستغلال أن يمتلك المهاجم دورًا لديه إذن لإدخال علامات HTML التي تحتوي على سمات بيانات محددة أو إذن `administer menu`.

توجد مشكلة في وحدة Link الخاصة بـ Drupal core، والتي توفر نوع حقل لعناوين URL الداخلية والخارجية. تفشل الوحدة في تعقيم بعض العلامات (markup) بشكل كافٍ في ظروف معينة، مما يؤدي إلى ثغرات Cross-Site Scripting (XSS)، وهي حالة يتم فيها حقن نصوص برمجية خبيثة في المواقع الموثوقة.

توجد مشكلة انعكاس غير آمن (Unsafe Reflection) حيث يمكن استخدام مدخلات يتم التحكم فيها خارجيًا لاختيار فئات أو أكواد، مما يؤدي إلى حقن الانعكاس (Reflection Injection). تسمح هذه الثغرة بتنفيذ رموز عن بُعد. وعلى الرغم من أن المشكلة لا يمكن استغلالها مباشرة باستخدام الوحدة وحدها، إلا أن هناك مسارات استغلال خطيرة متعددة عند دمجها مع وحدات مساهمة أخرى، بما في ذلك مسار واحد على الأقل لا يتطلب مصادقة. قد تؤدي الأكواد المخصصة أيضًا إلى تعريض هذه الوظيفة للخطر.

توجد مشكلة حيث لا يقوم موديل Navigation بتطهير بعض السمات بشكل كافٍ، مما يؤدي إلى حدوث Cross-Site Scripting (XSS)، وهي حالة يتم فيها حقن برمجيات خبيثة في مواقع ويب موثوقة. يتطلب الاستغلال أن يمتلك المهاجم دوراً لديه صلاحية إدخال وسوم HTML تحتوي على سمات بيانات محددة، أو صلاحية `administer menu`.

توجد ثغرة تنفيذ عن بُعد للكود في وحدة Field UI (`field ui`) ضمن Drupal core. على الرغم من أن هذه الثغرة لا يمكن استغلالها مباشرة باستخدام وظائف core وحدها، إلا أن هناك مسارات استغلال خطيرة متعددة متاحة من خلال استخدام وحدات مساهمة أو كود مخصص. يسمح أحد مسارات الاستغلال المعروفة على الأقل بتنفيذ كود عن بُعد دون الحاجة إلى مصادقة. هناك حوالي 151,000 موقع متأثر محتمل بسبب استخدام إصدارات قديمة من نظام إدارة المحتوى. يمكن استخدام هذه الثغرة لتحقيق تحرك جانبي من خوادم الويب المخترقة إلى البنية التحتية الداخلية.

يؤدي عدم تحييد العناصر الخاصة المستخدمة في محرك القوالب إلى إمكانية حقن الكود. يفشل النموذج في التخفيف بشكل كافٍ من عمليات حقن قوالب Twig في قواعد معينة، مما يسمح باستخدام وظائف Twig لاستخراج بيانات نظام سرية. Twig هو محرك قوالب للغة PHP يسمح للمطورين بإنشاء HTML من خلال دمج القوالب الثابتة مع البيانات الديناميكية.

توجد ثغرة أمنية في مشروع «Disable Login Page». وقد تم تصنيف المشروع حاليًا على أنه غير مدعوم، ولم يقدم المسؤول عن صيانته أي حل لهذه المشكلة.

تحتوي نواة دروبال على ثغرة تتعلق بالبرمجة النصية عبر المواقع (XSS) بسبب عدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحات الويب. لا يقوم مرشح XSS بتنقية بعض السمات من مكتبة JavaScript HTMX المدمجة بشكل كافٍ، مما يسمح للمهاجم بتنفيذ نصوص برمجية ضارة إذا تمكن من إدراج HTML بسمات محددة.

تحدث ثغرة ”التنفيذ البرمجي عبر المواقع المخزنة“ (XSS) لأن وحدة Layout Builder لا تقوم بتنقية تسميات الكتل بشكل كافٍ في سيناريوهات معينة. وهذا يسمح للمهاجم بحقن نصوص برمجية ضارة يتم تخزينها ثم تنفيذها لاحقًا في متصفح مستخدم آخر. يتطلب استغلال هذه الثغرة أن يكون كل من المهاجم والمستخدم المستهدف يستخدمان واجهة تحرير «Layout Builder».

يؤدي التعديل غير الخاضع للرقابة بشكل صحيح لسمات الكائنات المحددة ديناميكيًا إلى السماح بحقن الكائنات. بالإضافة إلى ذلك، تفشل الوحدة الفرعية Render في تنقية كود القوالب بشكل كافٍ عند عرض قوالب Twig المضمنة كجزء من نماذج بدون كود، مما قد يؤدي إلى كشف المعلومات. يتم التخفيف من هذه المشكلة إذا كان الموقع لا يعمل بنموذج ECA يستخدم الإجراء ”Render: Twig“ في تدفق البيانات.

توجد مشكلة تتمثل في أن الوحدة النمطية لا تقوم بتنقية علامات الترميز التي يتم تمريرها إلى المكونات بشكل كافٍ في سيناريوهات معينة، مما يؤدي إلى حدوث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (XSS). البرمجة النصية عبر المواقع (XSS) هي ثغرة تسمح للمهاجم بإدخال نصوص برمجية ضارة في صفحات الويب التي يشاهدها مستخدمون آخرون. ويتطلب استغلال هذه الثغرة أن يكون لدى المهاجم أذونات لإنشاء أو تحديث المحتوى الذي تعرضه UI Patterns.

تسمح مشكلة تتعلق بنقص في التفويض بالتصفح القسري. فالوحدة النمطية، التي تتيح اختبار وتشغيل سير العمل المدعوم بالذكاء الاصطناعي عبر واجهة الدردشة، لا تعيد تقييم بوابات الموافقة التي تتطلب تدخلًا بشريًّا بشكل كافٍ خلال تكرارات سير العمل التي تحدث أكثر من مرة. وقد يؤدي ذلك إلى تنفيذ سير عمل لم يقصده المستخدم. ويتطلب استغلال هذه الثغرة أن يمتلك المهاجم دور «إدارة سير عمل FlowDrop» أو أذونات مكافئة مثل «إنشاء سير عمل FlowDrop» أو «تعديل سير عمل FlowDrop».

تسمح مشكلة تتعلق بنقص في التفويض بالتصفح القسري. فالوحدة النمطية، التي تتيح اختبار وتشغيل سير العمل المدعوم بالذكاء الاصطناعي عبر واجهة دردشة، لا تفرض الأذونات بشكل كافٍ على نقاط نهاية معينة. قد يسمح ذلك للمهاجمين بتشغيل سير العمل، مما يؤدي إلى تكاليف نموذج اللغة الكبير (LLM) وآثار جانبية للأداة، أو يمكّنهم من إرسال رسائل إلى جلسات تخص مستخدمين آخرين. يتم التخفيف من هذه المشكلة إذا لم يكن المهاجم يمتلك إذن «عرض أي جلسة»، والذي لا يُمنح للمستخدمين المجهولين أو المصادق عليهم بشكل افتراضي.

تحتوي نواة دروبال على «سلسلة أدوات» (gadget chain)، وهي عبارة عن تسلسل من أجزاء الكود الموجودة التي يمكن استغلالها أثناء عملية إزالة التسلسل (deserialization) للبيانات غير الموثوق بها. على الرغم من أن هذه المشكلة لا يمكن استغلالها بشكل مباشر، إلا أنها يمكن أن تكون وسيلة لتنفيذ تعليمات برمجية عن بُعد أو حقن SQL إذا سمحت ثغرة أمنية منفصلة للمهاجم بتمرير مدخلات غير آمنة إلى دالة `unserialize()`.

تسمح وحدتا JSON:API وREST بتحميل ملفات الصور إلى حقول الصور. تتحقق قواعد التحقق من صحة الملف من امتداد الملف، لكنها لا تتحقق من نوع MIME (ملحقات البريد الإلكتروني متعددة الأغراض) للملف، وهو معيار يُستخدم لتحديد طبيعة المستند وتنسيقه. تسمح هذه الثغرة لمستخدم خبيث بتحميل ملفات غير صور. اعتمادًا على تكوين خادم الويب، قد يتم عرض هذه الملفات باستخدام نوع MIME الفعلي الخاص بها، مما قد يؤدي إلى حدوث «البرمجة النصية عبر المواقع» (XSS)، حيث يتم إدخال نصوص برمجية خبيثة في مواقع ويب موثوقة، أو حدوث سلوكيات أخرى غير متوقعة.

تدعم وحدة «Media» تقنية oEmbed، التي تستخدم آليتين لاكتشاف عناوين URL: `providers.json` واكتشاف عناوين URL. يمكن استغلال كود اكتشاف عناوين URL لخداع النظام ودفعه إلى إرسال طلبات غير مصرح بها من جانب الخادم إلى أي عنوان URL عشوائي. ويُعرف هذا بـ «تزوير الطلبات من جانب الخادم» (SSRF)، وهو عيب يتيح للمهاجم إجبار الخادم على إرسال طلبات إلى موقع غير مقصود.

يفشل وحدة التحكم الأمامية `rebuild.php`، المستخدمة لمسح ذاكرات التخزين المؤقت وإعادة بناء الحاوية عندما يكون الموقع في حالة غير متوقعة، في التحقق بشكل صحيح من صحة رأس المضيف (Host header) مقارنةً بأنماط المضيفين الموثوق بهم. يمكن أن يؤدي هذا الخلل إلى «تسميم ذاكرة التخزين المؤقت» (cache poisoning)، حيث يتم ملء ذاكرة التخزين المؤقت باستجابة ضارة، أو إلى «إعادة توجيه مفتوح» (open redirect)، والذي يوجه المستخدمين إلى نطاق يسيطر عليه المهاجم.

يمكن للمهاجم الذي يمتلك أذونات كتابة مناسبة لـ JSON:API أن يقوم، في بعض الحالات النادرة، بحقن حمولة ضارة، مما يؤدي إلى حدوث «حقن كائنات PHP». يحدث «حقن كائنات PHP» عند استخدام مدخلات غير موثوق بها لإنشاء مثيلات للكائنات، مما قد يسمح للمهاجم بتنفيذ تعليمات برمجية عشوائية أو التلاعب بمنطق التطبيق. لا يمكن استغلال هذه الثغرة إلا إذا كان الموقع يستخدم نوع حقل مرجع الكيان الذي يخزن خاصية متسلسلة، وقام بتمكين حق الوصول للكتابة لـ JSON:API، والذي يكون للقراءة فقط بشكل افتراضي.

تحدث ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة بسبب فشل الوحدة النمطية في تنقية اسم مصطلحات التصنيف الأصلية بشكل صحيح عند عرض الاقتراحات في القائمة المنسدلة لـ Tagify. وهذا يسمح للمهاجم الذي يمتلك أذونات لإنشاء أو تعديل مصطلحات التصنيف في قاموس مصطلحات بتنفيذ تعليمات جافا سكريبت تعسفية ضمن سياق جلسة عمل المستخدم.