Frank Mably

تسمح ثغرة في التصريح غير الصحيح بالتصفح القسري (Forceful Browsing). يفشل النموذج في التحقق بشكل كافٍ من النطاقات المعينة للمستخدم عندما يكون إعداد منح الوصول لكل نوع محتوى مفعلًا. يحدث هذا عندما يمتلك المستخدم دورًا بصلاحية تحرير أو حذف أي محتوى في النطاقات المعينة، إلى جانب صلاحية محددة لكل نوع محتوى، ويكون معينًا لنطاق واحد على الأقل.

يسمح ضعف التحكم في الوصول إلى مصطلحات التصنيف للمستخدمين المجهولين بعرض أي من مصطلحات التصنيف الخاصة بالموقع، بما في ذلك المصطلحات غير المنشورة أو المقيدة. يتم ذلك من خلال نقطة نهاية JSON الخاصة بالوحدة.

يوجد عيب في وحدة Drupal Responsive Favicons حيث لا يتم تصفية النص الذي يدخله المسؤول بشكل صحيح، مما يؤدي إلى مشكلة «التنفيذ البرمجي عبر المواقع» (XSS). يجب أن يمتلك المهاجم صلاحية «إدارة الرموز المفضلة المتجاوبة» لاستغلال هذه الثغرة. تضيف الوحدة النمطية الرموز المفضلة التي تم إنشاؤها بواسطة `realfavicongenerator.net` إلى موقع Drupal. وتعد هذه الثغرة نوعًا من «التحييد غير السليم للمدخلات أثناء إنشاء صفحة الويب».

يحتوي المكون الإضافي AT Internet Piano Analytics الخاص بـ Drupal على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS). لا يقوم المكون بتصفية النص الذي يدخله المسؤولون بشكل صحيح، مما يؤدي إلى حالة XSS مستمرة. يجب أن يمتلك المهاجم صلاحية «administer pianoanalytics» لاستغلال هذه الثغرة الأمنية.

يحتوي البرنامج على ثغرة أمنية ناتجة عن عدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحات الويب، مما يتيح حدوث هجمات «التنفيذ البرمجي عبر المواقع» (XSS). وهذا يعني أنه من المحتمل أن يتمكن المهاجم من إدخال نصوص برمجية ضارة في صفحات الويب التي يشاهدها المستخدمون الآخرون.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Toc.Js من 0.0.0 إلى 3.2.1 الوصف: تتعلق المشكلة بـ«التعقيم غير السليم للمدخلات أثناء إنشاء صفحة الويب»، والمعروف أيضًا باسم «التنفيذ البرمجي عبر المواقع» (XSS)، في Drupal Toc.Js. وهذا يسمح للمهاجم بتنفيذ هجمات «التنفيذ البرمجي عبر المواقع» (XSS). التوصيات: بالنسبة لإصدارات Toc.Js من 0.0.0 إلى 3.2.1، قم بالتحديث إلى الإصدار 3.2.1 أو أحدث لحل المشكلة.

The issue is related to improper neutralization of input during web page generation, which allows for Cross-Site Scripting (XSS) attacks. This can enable a remote attacker to perform inter-site script attacks.