Drew Webber

توجد مشكلة أمنية في تكامل Drupal GroupEx PRO ( Daxko ). تم تصنيف المشروع حاليًا على أنه غير مدعوم، ولم يقم المسؤول عن الصيانة بتوفير إصلاح لهذه المشكلة.

توجد مشكلة أمنية في وحدة PayUmoney for Drupal Commerce. وقد صنفت فريق أمن Drupal هذا المشروع على أنه غير مدعوم لأن المسؤول عن الصيانة لم يقم بإصلاح هذه المشكلة.

يتيح Single Content Sync تصدير واستيراد المحتوى والكيانات المرجعية والملفات بين مواقع Drupal. يمكن أن يتسبب ملف استيراد مصمم بشكل خبيث في إلغاء تسلسل بيانات غير موثوقة، مما قد يؤدي إلى تنفيذ رموز عن بُعد عبر حقن الكائنات (Object Injection). يتطلب هذا الخلل أن يمتلك المهاجم دوراً يتمتع بصلاحية "import single content".

يحدث ثغرة Cross-site Scripting (XSS) مخزنة لأن القالب لا يقوم بتطهير عناوين روابط القائمة بشكل كافٍ قبل إدراجها في سمات فئة HTML. تتطلب هذه المشكلة أن يكون المهاجم قادرًا على إنشاء أو تعديل عناوين روابط القائمة، إما من خلال إدارة القائمة أو من خلال إعدادات قائمة المحتوى عند السماح بذلك.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة عندما يفشل المنسق `file uri` في تعقيم أسماء الملفات بشكل صحيح عند عرض الروابط للملفات المرفوعة. يسمح هذا للمهاجم الذي يمتلك صلاحيات رفع الملفات في حقل فرعي لملفات Data Field بحقن نصوص برمجية خبيثة في صفحة الويب. الـ Cross-site Scripting هي ثغرة يتم من خلالها إدخال بيانات غير موثوقة في صفحة ويب دون التحقق من صحتها أو ترميزها بشكل صحيح، مما يسمح بتنفيذ النصوص البرمجية في متصفح الضحية.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة لأن القالب لا يقوم بتطهير عناوين روابط القائمة بشكل كافٍ قبل إدراجها في سمات فئة HTML. تسمح هذه المشكلة للمهاجم الذي يمكنه إنشاء أو تعديل عناوين روابط القائمة، إما من خلال إدارة القائمة أو من خلال إعدادات قائمة المحتوى المسموح بها، بتنفيذ برامج نصية خبيثة في سياق جلسة المستخدم.

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى حدوث ثغرة Cross-Site Scripting (XSS). يفشل النموذج في التحقق بشكل كافٍ من إعدادات الأيقونات التي يقدمها المستخدمون قبل عرضها.

يسمح التعديل غير الخاضع للرقابة بشكل صحيح لسمات الكائنات المحددة ديناميكيًا في وحدة Drupal Monster Menus بحقن الكائنات. وبشكل محدد، تستخدم الوحدة الفرعية RSS Page دالة `unserialize()` الخاصة بلغة PHP عند معالجة مدخلات نموذج إنشاء العقدة. يتيح ذلك للمهاجم الذي يمتلك صلاحية "RSS Feed: Create new content" حقن كائنات PHP. حقن الكائنات هو حالة يتم فيها تمرير مدخلات غير موثوقة إلى دالة إلغاء التسلسل، مما قد يسمح بتنفيذ تعليمات برمجية عشوائية أو التلاعب بمنطق التطبيق.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة لأن القالب لا يقوم بتطهير عناوين روابط القائمة بشكل كافٍ قبل إدراجها في سمات فئة HTML. تتطلب هذه المشكلة أن يكون المهاجم قادرًا على إنشاء أو تعديل عناوين روابط القائمة، إما من خلال إدارة القائمة أو من خلال إعدادات قائمة المحتوى المسموح بها.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة لأن النص الذي يدخله المستخدم يتم استخدامه كجزء من الشريحة دون تصفية مناسبة. تتطلب هذه المشكلة أن يمتلك المهاجم دوراً بصلاحيات تحرير التعليق.

توجد مشكلة حيث لا يقوم نموذج خاص بالتوزيع بتطهير أسماء الوسائط بشكل كافٍ، مما يسمح بحدوث ثغرة Cross-site Scripting (XSS) مخزنة، وهي حالة تحدث عندما يتضمن التطبيق بيانات غير موثوقة في صفحة ويب دون التحقق من صحتها أو ترميزها بشكل صحيح. يتطلب الاستغلال أن يمتلك المهاجم دوراً يمنحه صلاحية إنشاء أو تحرير كيان وسائط.

توجد مشكلة في وحدة Link الخاصة بـ Drupal core، والتي توفر نوع حقل لعناوين URL الداخلية والخارجية. تفشل الوحدة في تعقيم بعض العلامات (markup) بشكل كافٍ في ظروف معينة، مما يؤدي إلى ثغرات Cross-Site Scripting (XSS)، وهي حالة يتم فيها حقن نصوص برمجية خبيثة في المواقع الموثوقة.

توجد مشكلة انعكاس غير آمن (Unsafe Reflection) حيث يمكن استخدام مدخلات يتم التحكم فيها خارجيًا لاختيار فئات أو أكواد، مما يؤدي إلى حقن الانعكاس (Reflection Injection). تسمح هذه الثغرة بتنفيذ رموز عن بُعد. وعلى الرغم من أن المشكلة لا يمكن استغلالها مباشرة باستخدام الوحدة وحدها، إلا أن هناك مسارات استغلال خطيرة متعددة عند دمجها مع وحدات مساهمة أخرى، بما في ذلك مسار واحد على الأقل لا يتطلب مصادقة. قد تؤدي الأكواد المخصصة أيضًا إلى تعريض هذه الوظيفة للخطر.

توجد ثغرة تنفيذ عن بُعد للكود في وحدة Field UI (`field ui`) ضمن Drupal core. على الرغم من أن هذه الثغرة لا يمكن استغلالها مباشرة باستخدام وظائف core وحدها، إلا أن هناك مسارات استغلال خطيرة متعددة متاحة من خلال استخدام وحدات مساهمة أو كود مخصص. يسمح أحد مسارات الاستغلال المعروفة على الأقل بتنفيذ كود عن بُعد دون الحاجة إلى مصادقة. هناك حوالي 151,000 موقع متأثر محتمل بسبب استخدام إصدارات قديمة من نظام إدارة المحتوى. يمكن استخدام هذه الثغرة لتحقيق تحرك جانبي من خوادم الويب المخترقة إلى البنية التحتية الداخلية.

تسمح ثغرة تفويض غير صحيح بالتصفح القسري (Forceful Browsing). يفشل النموذج في التحقق بشكل كافٍ من الوصول إلى الكيان في العديد من نقاط نهاية المحرر. يتطلب الاستغلال أن يمتلك المهاجم دوراً لديه إذن "use gutenberg".

يسمح خلل في التفويض بالتصفح القسري (Forceful Browsing) بسبب عدم التحقق الكافي من الوصول إلى الكيان عند عرض كيان من خلال مسار مثال وضع العرض. يتيح ذلك للمهاجم عرض محتوى غير منشور أو مقيد الوصول. لا يزال فرض الوصول على مستوى الحقل مفعلًا، مما يمنع الكشف عن الحقول المقيدة مثل عناوين البريد الإلكتروني أو رموز كلمات المرور المشفرة.

توجد مشكلة أمنية في مشروع Drupal Orphans Media. وقد صنفه فريق أمن Drupal على أنه غير مدعوم لأن المسؤول عن المشروع لم يقم بإصلاح هذه المشكلة.

يسمح التعديل غير الخاضع للرقابة بشكل صحيح لسمات الكائنات المحددة ديناميكيًا في وحدة Block AJAX بحقن الكائنات. تفشل الوحدة في التحقق بشكل كافٍ من البيانات التي يوفرها المستخدم والتي تُستخدم لإنشاء كتلة، مما قد يؤدي إلى حقن كائنات PHP وتنفيذ رموز عن بُعد. تؤثر هذه المشكلة تحديدًا على المواقع التي تم تفعيل Layout Builder فيها أو إضافات الكتل الأخرى التي تتعامل مع البيانات التي تمررها هذه الوحدة بطريقة غير آمنة.

توجد مشكلة أمنية في مشروع Drupal ECA Helper. وقد صنف فريق أمن Drupal هذا المشروع على أنه غير مدعوم لأن المسؤول عن الصيانة لم يقدم إصلاحًا للمشكلة المعروفة.

Insufficient validation of a managed file upload element during the processing of new submissions allows a user with submission access to potentially access other managed files they are not authorized to view. This issue occurs when a site is configured with a Webform containing a managed file upload element and a configuration that exposes submitted files, such as allowing users to view their own submissions or sending uploads as email attachments. Approximately 436,400 instances are identified globally.