Florent Torregrosa

توجد ثغرة في وحدة «Drupal Internationalization Single Sign-On» تسمح بتجاوز عملية المصادقة. تفشل الوحدة في التحقق بشكل كافٍ من صحة الرمز المؤقت قصير الأمد، مما يسمح للمهاجم بتجاوز ضوابط الوصول والمصادقة بصفته مستخدمًا ضحية. تحدث هذه المشكلة في المواقع الإلكترونية متعددة اللغات التي تستخدم أسماء نطاقات مختلفة لكل لغة لتمكين الاتصال التلقائي عبر النطاقات. ويتطلب استغلال هذه الثغرة أن يبدو المهاجم وكأنه يتصل من نفس عنوان IP الخاص بالعميل الذي يستخدمه الضحية.

توجد مشكلة تتمثل في أن الوحدة النمطية لا تقوم بتنقية علامات الترميز التي يتم تمريرها إلى المكونات بشكل كافٍ في سيناريوهات معينة، مما يؤدي إلى حدوث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (XSS). البرمجة النصية عبر المواقع (XSS) هي ثغرة تسمح للمهاجم بإدخال نصوص برمجية ضارة في صفحات الويب التي يشاهدها مستخدمون آخرون. ويتطلب استغلال هذه الثغرة أن يكون لدى المهاجم أذونات لإنشاء أو تحديث المحتوى الذي تعرضه UI Patterns.

توجد مشكلة في نظام التفويض في Drupal Entity Share تسمح بالتنقل القسري. قد يتيح هذا الخلل الوصول غير المصرح به إلى الموارد.

تتمثل المشكلة في ثغرة أمنية من نوع «تزوير الطلبات بين المواقع» (CSRF) في Drupal Matomo Analytics، مما يسمح بتنفيذ إجراءات غير مصرح بها نيابة عن المستخدم.

تؤثر ثغرة أمنية من نوع «تزوير الطلبات بين المواقع» (CSRF) على وحدة Drupal Google Tag، مما يسمح بتنفيذ إجراءات غير مصرح بها نيابة عن المستخدم. يمكن استغلال هذه الثغرة لتنفيذ إجراءات دون علم المستخدم أو موافقته.