Greg Knaddison

توجد ثغرة من نوع تزوير الطلبات عبر المواقع (CSRF) في الوحدة المستخدمة للتكامل مع واجهة برمجة تطبيقات Stripe Connect. عند إعادة التوجيه إلى Stripe Connect لإنشاء رمز تفويض، تفشل الوحدة في تضمين رمز CSRF في URI العودة. يتيح ذلك للمهاجم خداع المسؤول للنقر على رابط يتجاوز عملية الدفع، مما يؤدي إلى تحديد الطلبات على أنها مدفوعة دون معالجة الدفع الفعلي.

توجد مشكلة في التصريح غير الصحيح في الوحدة المستخدمة لتنظيم المنتجات الملموسة في شحنات للتنفيذ. يفشل النظام في التحقق بشكل كافٍ من أذونات الوصول في النموذج المستخدم لإعادة إرسال الإيصالات. في ظل تكوينات معينة، يسمح هذا للمستخدمين غير المصرح لهم بإجراء تصفح قسري للوصول إلى الإيصالات ومعلومات العملاء الحساسة لطلبات لا يُسمح لهم بمشاهدتها.

تسمح مستويات التحكم في الوصول التي تم تكوينها بشكل غير صحيح في submódulo AI Search بأن يحتوي ذاكرة التخزين المؤقت لمتصفح الويب على معلومات حساسة. بينما يتحقق backend الخاص بـ AI Search من الوصول لكل نتيجة بحث، يتم تجاهل هذا التحقق عندما يقوم Search API بتخزين نتائج العرض (view) مؤقتًا. نتيجة لذلك، قد يتمكن المستخدمون من رؤية نتائج بحث مخزنة مؤقتًا، مثل العناوين والحقول الخاصة بمحتوى غير منشور أو مقيد الوصول، إذا قام مستخدم لديه الصلاحيات المناسبة بإجراء نفس البحث خلال فترة صلاحية التخزين المؤقت. يحدث هذا عندما يكون submódulo AI Search مفعلًا ويستخدم عرض Search API تخزينًا مؤقتًا للنتائج يعتمد على الوقت، أو العلامات (tags)، أو كليهما.

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى حدوث ثغرة Cross-Site Scripting (XSS). لا يقوم الموديل بالتحقق من صحة روابط Markdown بشكل كافٍ في ظل ظروف معينة، مما قد يسمح بتنفيذ برمجيات خبيثة في متصفح المستخدم.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة بسبب عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب. يفشل المكون الفرعي AI Automator، الذي يتيح ملء الحقول تلقائيًا بناءً على حقول أخرى، في التحقق بشكل كافٍ من صلاحيات الوصول إلى تنسيقات النصوص. يسمح هذا للمستخدمين بكتابة بيانات الحقول بتنسيقات نصوص لا يملكون صلاحية الوصول إليها.

تسمح ثغرة في التصريح غير الصحيح بالتصفح القسري (forceful browsing) ضمن الوحدة المستخدمة لتنظيم المنتجات الملموسة في شحنات للتنفيذ. تفشل الوحدة في حماية مراجع الشحنات وحقول كيان الشحنة بشكل كافٍ، مما يؤدي إلى تجاوز صلاحيات الوصول. يمكن أن يؤدي ذلك إلى تعديل حالات الشحنات بشكل غير لائق أو حذف الشحنات. يتطلب الاستغلال أن يمتلك المهاجم عربة تسوق بصلاحية وصول قائمة على واجهة برمجة التطبيقات (API) للتلاعب بالشحنات.

توجد مشكلة حيث لا يقوم الموديل بتقييد تنويعات المنتجات التي تعيدها استعلامات الكيان بشكل كافٍ لتقتصر على التنويعات التي يمكن للمستخدم الحالي عرضها. عند تمكين موديل JSON:API الأساسي، يمكن للمهاجم إجراء تصفح قسري من خلال إرسال طلبات متكررة لتحديد قيم حقول معينة في تنويعات المنتجات غير المنشورة، أو تنويعة لمنتج غير منشور.

يحدث تزوير الطلبات عبر المواقع (CSRF) عندما يتم خداع المستخدم لتنفيذ إجراء لم يكن ينوي القيام به. في هذه الحالة، لا تتحقق مسارات صندوق الوارد من رموز CSRF. يمكن للمهاجم خداع مستخدم لديه صلاحية "access commerce administration pages" لزيارة صفحة خبيثة تؤدي إلى تجاهل الإشعارات. نظرًا لأن صندوق الوارد مشترك، فإن هذا الإجراء يخفي الرسائل، بما في ذلك إشعارات تحديثات الأمان، عن جميع المسؤولين.

تحدث مشكلة في الوحدة الفرعية AI Chatbot عندما لا يتم تصفية إدخالات المستخدم بشكل كافٍ قبل عرضها على صفحة الويب، مما يؤدي إلى حدوث Cross-Site Scripting (XSS). يحدث هذا في ظل تكوينات معينة ويتطلب أن يمتلك المهاجم صلاحيات إدارة الكتل (blocks).

يسمح خطأ في التفويض في وحدة الذكاء الاصطناعي (AI) بحقن الموارد. تفشل الوحدة في التحقق من صحة الروابط بشكل كافٍ في ظل ظروف معينة، مما قد يؤدي إلى تسريب معلومات حساسة إلى مواقع خارجية. يحدث هذا عندما يستخدم المهاجم مصادر غير موثوقة عند التفاعل مع وحدة الذكاء الاصطناعي بطريقة تؤدي إلى إنتاج HTML مُصيّر.

يحدث تخزين غير آمن للمعلومات الحساسة عندما يتم كتابة ملفات الصوت لطلبات تحويل الكلام إلى نص في ملف واحد داخل الدليل المؤقت ولا يتم حذفها بعد المعالجة. يتيح ذلك للمهاجم الذي يملك صلاحية القراءة للدليل المؤقت للموقع—سواء عبر استضافة مشتركة أو من خلال كود آخر يكشف الملفات المؤقتة—استرجاع البيانات الصوتية التي أرسلها مستخدمون آخرون للنسخ.

يوفر هذا النموذج إطار عمل لدمج مزودي وميزات الذكاء الاصطناعي في Drupal. تحدث المشكلة لأن النموذج لا يقوم بتطهير بعض سمات HTMX بشكل كافٍ، مما يؤدي إلى ثغرة Cross-Site Scripting (XSS)، حيث يمكن حقن نصوص برمجية خبيثة في صفحات الويب.

يوجد خلل في تجاوز المصادقة في الوحدة التي تمكن المصادقة عبر بروتوكول OpenID Connect (oAuth2). عندما يقوم مستخدم جديد بتسجيل الدخول، تحاول الوحدة ربط المستخدم بحساب موجود له نفس عنوان البريد الإلكتروني. يسمح هذا بالاستيلاء على أي حساب Drupal موجود، باستثناء المستخدم 1، بشرط ألا يكون الحساب قد تم ربطه بمستخدم OpenID Connect بعد. تزداد احتمالية حدوث هذه المشكلة إذا تم تكوين الموقع لاستخدام مزود لا يتحقق من عناوين البريد الإلكتروني للمستخدمين.

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري. لا يقوم الموديل بتقييد الوصول إلى حقول الترخيص بشكل كافٍ للمستخدمين الذين لديهم صلاحية `update own commerce license`. وبناءً على ذلك، يمكن لمالك الترخيص تغيير حالة الترخيص والحقوق الممنوحة من خلاله، مما قد يؤدي إلى تصعيد الامتيازات وصولاً إلى دور المسؤول (Administrator).

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري عند استخدام Drupal Commerce مع وحدة JSON:API. يتيح ذلك للمستخدمين الذين لا يملكون الأذونات المناسبة الوصول إلى تنويعات المنتجات غير المنشورة. تؤثر هذه المشكلة تحديداً على المواقع التي تحتوي على منتجات منشورة وتنويعات منتجات غير منشورة.

تسمح ثغرة فقدان التفويض بالتصفح القسري وتجاوز التحكم في الوصول. ينبع هذا الخلل من الحماية غير الكافية للمسارات وحقول الكيانات، مما يسمح للمهاجمين غير المصرح لهم بتنفيذ إجراءات مميزة، وتعديل الطلبات، والوصول إلى بيانات دفع العملاء أو معلومات تحديد الهوية الشخصية (PII). يؤثر هذا الأمر على عربة التسوق، وعملية الدفع، ووظائف واجهة برمجة التطبيقات (API). ويُقدر أن أكثر من 42,000 عملية تثبيت قد تأثرت. هناك تأكيدات على وجود استغلال نشط لهذه الثغرة، بما في ذلك حالات طلبات احتيالية على مواقع حقيقية.

تسمح ثغرة في التصريح غير الصحيح بالتصفح القسري. يفشل النموذج في التحقق بشكل كافٍ من الوصول إلى العلاقة بين العروض الترويجية والقسائم. وبناءً على ذلك، يمكن للمستخدم المصرح له فقط بإدارة العروض الترويجية الخاصة به تعديل أو حذف القسائم المرتبطة بعروض ترويجية أخرى. يتم التخفيف من هذه المشكلة إذا كان الموقع لا يقبل عمليات الكتابة عبر JSON:API أو REST، حيث تكون هذه الميزات معطلة افتراضيًا.

توجد مشكلة في التصريح غير الصحيح تسمح بالتصفح القسري عند حفظ المتجر. يفشل النظام في التحقق من أذونات الوصول بشكل صحيح، مما يمكن المستخدم الذي يملك صلاحية إنشاء المتاجر أو تحرير متجره الخاص من تعيين متجره كمتجر افتراضي للموقع. يؤدي ذلك إلى حصول المستخدم على طلبات لا ينبغي له الوصول إليها عادةً. تؤثر هذه المشكلة بشكل أساسي على المواقع التي تمنح هذه الأذونات لمستخدمين غير موثوقين، مثل مواقع الأسواق الإلكترونية حيث يدير البائعون متاجرهم الخاصة.

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى حدوث ثغرة Cross-Site Scripting (XSS). لا يقوم الموديل بتقييد عرض HTML بشكل كافٍ، مما يسمح بتنفيذ نصوص برمجية خبيثة في ظل ظروف معينة. يتم التخفيف من هذه المشكلة بكون المهاجم يحتاج إلى الوصول إلى تنسيق نصي يمكنه عرض HTML.

يؤدي التحقق غير السليم من التوقيعات التشفيرية في الوحدة إلى إمكانية تزوير التوقيع (signature spoofing). تحدث هذه المشكلة عندما لا يتم تكوين سر التوقيع بشكل صحيح في إعدادات بوابة الدفع، مما يؤدي إلى عدم التحقق الكافي من توقيعات أحداث الـ webhook. الـ webhooks هي رسائل مؤتمتة يرسلها Stripe إلى التطبيق لإخطاره بالأحداث، مثل عمليات الدفع الناجحة.