Jess

يتيح Single Content Sync تصدير واستيراد المحتوى والكيانات المرجعية والملفات بين مواقع Drupal. يفشل الموديل في التحقق بشكل كافٍ من مصادر ووجهات الملفات أثناء استيراد المحتوى، مما يؤدي إلى حدوث Path Traversal (تخطي المسار). يسمح هذا للمهاجم بكتابة ملفات عشوائية، أو الكشف عن ملفات محلية حساسة يمكن لخادم الويب الوصول إليها، أو التسبب في قيام الخادم بإرسال طلبات إلى موارد داخلية أو خارجية. اعتمادًا على تكوين الخادم، قد يؤدي ذلك إلى تنفيذ رموز عن بُعد. تتطلب عملية الاستغلال الحصول على صلاحية *import single content*.

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري. لا يقوم الموديل بتقييد الوصول إلى حقول الترخيص بشكل كافٍ للمستخدمين الذين لديهم صلاحية `update own commerce license`. وبناءً على ذلك، يمكن لمالك الترخيص تغيير حالة الترخيص والحقوق الممنوحة من خلاله، مما قد يؤدي إلى تصعيد الامتيازات وصولاً إلى دور المسؤول (Administrator).

توجد ثغرة من نوع تزوير الطلبات عبر المواقع (CSRF) في الوحدة المستخدمة للتكامل مع واجهة برمجة تطبيقات Stripe Connect. عند إعادة التوجيه إلى Stripe Connect لإنشاء رمز تفويض، تفشل الوحدة في تضمين رمز CSRF في URI العودة. يتيح ذلك للمهاجم خداع المسؤول للنقر على رابط يتجاوز عملية الدفع، مما يؤدي إلى تحديد الطلبات على أنها مدفوعة دون معالجة الدفع الفعلي.

يؤدي التحقق غير السليم من التوقيعات التشفيرية في الوحدة إلى إمكانية تزوير التوقيع (signature spoofing). تحدث هذه المشكلة عندما لا يتم تكوين سر التوقيع بشكل صحيح في إعدادات بوابة الدفع، مما يؤدي إلى عدم التحقق الكافي من توقيعات أحداث الـ webhook. الـ webhooks هي رسائل مؤتمتة يرسلها Stripe إلى التطبيق لإخطاره بالأحداث، مثل عمليات الدفع الناجحة.

يحدث تخزين غير آمن للمعلومات الحساسة عندما يتم كتابة ملفات الصوت لطلبات تحويل الكلام إلى نص في ملف واحد داخل الدليل المؤقت ولا يتم حذفها بعد المعالجة. يتيح ذلك للمهاجم الذي يملك صلاحية القراءة للدليل المؤقت للموقع—سواء عبر استضافة مشتركة أو من خلال كود آخر يكشف الملفات المؤقتة—استرجاع البيانات الصوتية التي أرسلها مستخدمون آخرون للنسخ.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة بسبب عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب. يفشل المكون الفرعي AI Automator، الذي يتيح ملء الحقول تلقائيًا بناءً على حقول أخرى، في التحقق بشكل كافٍ من صلاحيات الوصول إلى تنسيقات النصوص. يسمح هذا للمستخدمين بكتابة بيانات الحقول بتنسيقات نصوص لا يملكون صلاحية الوصول إليها.

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى حدوث ثغرة Cross-Site Scripting (XSS). لا يقوم الموديل بالتحقق من صحة روابط Markdown بشكل كافٍ في ظل ظروف معينة، مما قد يسمح بتنفيذ برمجيات خبيثة في متصفح المستخدم.

توجد مشكلة في التصريح غير الصحيح في الوحدة المستخدمة لتنظيم المنتجات الملموسة في شحنات للتنفيذ. يفشل النظام في التحقق بشكل كافٍ من أذونات الوصول في النموذج المستخدم لإعادة إرسال الإيصالات. في ظل تكوينات معينة، يسمح هذا للمستخدمين غير المصرح لهم بإجراء تصفح قسري للوصول إلى الإيصالات ومعلومات العملاء الحساسة لطلبات لا يُسمح لهم بمشاهدتها.

يسمح خطأ في التفويض في وحدة الذكاء الاصطناعي (AI) بحقن الموارد. تفشل الوحدة في التحقق من صحة الروابط بشكل كافٍ في ظل ظروف معينة، مما قد يؤدي إلى تسريب معلومات حساسة إلى مواقع خارجية. يحدث هذا عندما يستخدم المهاجم مصادر غير موثوقة عند التفاعل مع وحدة الذكاء الاصطناعي بطريقة تؤدي إلى إنتاج HTML مُصيّر.

تحدث مشكلة في الوحدة الفرعية AI Chatbot عندما لا يتم تصفية إدخالات المستخدم بشكل كافٍ قبل عرضها على صفحة الويب، مما يؤدي إلى حدوث Cross-Site Scripting (XSS). يحدث هذا في ظل تكوينات معينة ويتطلب أن يمتلك المهاجم صلاحيات إدارة الكتل (blocks).

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري عند استخدام Drupal Commerce مع وحدة JSON:API. يتيح ذلك للمستخدمين الذين لا يملكون الأذونات المناسبة الوصول إلى تنويعات المنتجات غير المنشورة. تؤثر هذه المشكلة تحديداً على المواقع التي تحتوي على منتجات منشورة وتنويعات منتجات غير منشورة.

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى حدوث ثغرة Cross-Site Scripting (XSS). لا يقوم الموديل بتقييد عرض HTML بشكل كافٍ، مما يسمح بتنفيذ نصوص برمجية خبيثة في ظل ظروف معينة. يتم التخفيف من هذه المشكلة بكون المهاجم يحتاج إلى الوصول إلى تنسيق نصي يمكنه عرض HTML.

توجد مشكلة حيث لا يقوم الموديل بتقييد تنويعات المنتجات التي تعيدها استعلامات الكيان بشكل كافٍ لتقتصر على التنويعات التي يمكن للمستخدم الحالي عرضها. عند تمكين موديل JSON:API الأساسي، يمكن للمهاجم إجراء تصفح قسري من خلال إرسال طلبات متكررة لتحديد قيم حقول معينة في تنويعات المنتجات غير المنشورة، أو تنويعة لمنتج غير منشور.

يوفر هذا النموذج إطار عمل لدمج مزودي وميزات الذكاء الاصطناعي في Drupal. تحدث المشكلة لأن النموذج لا يقوم بتطهير بعض سمات HTMX بشكل كافٍ، مما يؤدي إلى ثغرة Cross-Site Scripting (XSS)، حيث يمكن حقن نصوص برمجية خبيثة في صفحات الويب.

تسمح ثغرة فقدان التفويض بالتصفح القسري وتجاوز التحكم في الوصول. ينبع هذا الخلل من الحماية غير الكافية للمسارات وحقول الكيانات، مما يسمح للمهاجمين غير المصرح لهم بتنفيذ إجراءات مميزة، وتعديل الطلبات، والوصول إلى بيانات دفع العملاء أو معلومات تحديد الهوية الشخصية (PII). يؤثر هذا الأمر على عربة التسوق، وعملية الدفع، ووظائف واجهة برمجة التطبيقات (API). ويُقدر أن أكثر من 42,000 عملية تثبيت قد تأثرت. هناك تأكيدات على وجود استغلال نشط لهذه الثغرة، بما في ذلك حالات طلبات احتيالية على مواقع حقيقية.

يحدث تزوير الطلبات عبر المواقع (CSRF) عندما يتم خداع المستخدم لتنفيذ إجراء لم يكن ينوي القيام به. في هذه الحالة، لا تتحقق مسارات صندوق الوارد من رموز CSRF. يمكن للمهاجم خداع مستخدم لديه صلاحية "access commerce administration pages" لزيارة صفحة خبيثة تؤدي إلى تجاهل الإشعارات. نظرًا لأن صندوق الوارد مشترك، فإن هذا الإجراء يخفي الرسائل، بما في ذلك إشعارات تحديثات الأمان، عن جميع المسؤولين.

توجد مشكلة في التصريح غير الصحيح تسمح بالتصفح القسري عند حفظ المتجر. يفشل النظام في التحقق من أذونات الوصول بشكل صحيح، مما يمكن المستخدم الذي يملك صلاحية إنشاء المتاجر أو تحرير متجره الخاص من تعيين متجره كمتجر افتراضي للموقع. يؤدي ذلك إلى حصول المستخدم على طلبات لا ينبغي له الوصول إليها عادةً. تؤثر هذه المشكلة بشكل أساسي على المواقع التي تمنح هذه الأذونات لمستخدمين غير موثوقين، مثل مواقع الأسواق الإلكترونية حيث يدير البائعون متاجرهم الخاصة.

تسمح ثغرة في التصريح غير الصحيح بالتصفح القسري (forceful browsing) ضمن الوحدة المستخدمة لتنظيم المنتجات الملموسة في شحنات للتنفيذ. تفشل الوحدة في حماية مراجع الشحنات وحقول كيان الشحنة بشكل كافٍ، مما يؤدي إلى تجاوز صلاحيات الوصول. يمكن أن يؤدي ذلك إلى تعديل حالات الشحنات بشكل غير لائق أو حذف الشحنات. يتطلب الاستغلال أن يمتلك المهاجم عربة تسوق بصلاحية وصول قائمة على واجهة برمجة التطبيقات (API) للتلاعب بالشحنات.

تسمح ثغرة في التصريح غير الصحيح بالتصفح القسري. يفشل النموذج في التحقق بشكل كافٍ من الوصول إلى العلاقة بين العروض الترويجية والقسائم. وبناءً على ذلك، يمكن للمستخدم المصرح له فقط بإدارة العروض الترويجية الخاصة به تعديل أو حذف القسائم المرتبطة بعروض ترويجية أخرى. يتم التخفيف من هذه المشكلة إذا كان الموقع لا يقبل عمليات الكتابة عبر JSON:API أو REST، حيث تكون هذه الميزات معطلة افتراضيًا.

يتيح Single Content Sync تصدير واستيراد المحتوى والكيانات المرجعية والملفات بين مواقع Drupal. يمكن أن يتسبب ملف استيراد مصمم بشكل خبيث في إلغاء تسلسل بيانات غير موثوقة، مما قد يؤدي إلى تنفيذ رموز عن بُعد عبر حقن الكائنات (Object Injection). يتطلب هذا الخلل أن يمتلك المهاجم دوراً يتمتع بصلاحية "import single content".