Joe Corall

تسمح ثغرة فقدان التصريح بالتصفح القسري (Forceful Browsing). يفشل الموديل في التحقق بشكل كافٍ من صلاحية الوصول إلى الكتلة (block access) عند إرسال معرفات كتل عشوائية إلى نقطة نهاية AJAX المتاحة للعموم. قد يسمح هذا لمهاجم غير مصرح له باسترداد محتوى كتل مقيد، بشرط أن يتمكن من معرفة أو تخمين معرف الآلة الخاص بكتلة تحتوي على محتوى حساس محمي بقيود الرؤية.

يفشل submódulo `islandora advanced search` في التحقق بشكل كافٍ من الوصول إلى الكتلة (block access) عند إرسال معرفات كتل عشوائية إلى نقطة نهاية AJAX المتاحة علنًا. يسمح هذا الخلل لمهاجم غير مصرح له بتنفيذ تصفح قسري لاسترداد محتوى كتل مقيد، بشرط أن يتمكن من تحديد معرف الجهاز (machine ID) لكتلة تحتوي على معلومات حساسة محمية بقيود الرؤية.

يوجد عيب في Drupal Islandora يسمح بتنفيذ البرمجة النصية عبر المواقع (XSS). تنشأ المشكلة عن عدم كفاية تنقية مسارات URI المستخدمة في مسار مخصص لإرفاق الوسائط بالعقد. يتطلب استغلال هذه الثغرة أن يمتلك المهاجم إذن «إنشاء الوسائط» والقدرة على تعديل العقدة التي تم إرفاق الوسائط بها. Islandora هو إطار عمل مفتوح المصدر لإدارة الأصول الرقمية (DAM) يتكامل مع خدمات مفتوحة المصدر متنوعة في بيئة موزعة. لا يقوم المكون المعرض للخطر بتنقية المدخلات بشكل صحيح أثناء إنشاء صفحة الويب.