Jonathan Sacksick

تسمح ثغرة فقدان التفويض بالتصفح القسري وتجاوز التحكم في الوصول. ينبع هذا الخلل من الحماية غير الكافية للمسارات وحقول الكيانات، مما يسمح للمهاجمين غير المصرح لهم بتنفيذ إجراءات مميزة، وتعديل الطلبات، والوصول إلى بيانات دفع العملاء أو معلومات تحديد الهوية الشخصية (PII). يؤثر هذا الأمر على عربة التسوق، وعملية الدفع، ووظائف واجهة برمجة التطبيقات (API). ويُقدر أن أكثر من 42,000 عملية تثبيت قد تأثرت. هناك تأكيدات على وجود استغلال نشط لهذه الثغرة، بما في ذلك حالات طلبات احتيالية على مواقع حقيقية.

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري عند استخدام Drupal Commerce مع وحدة JSON:API. يتيح ذلك للمستخدمين الذين لا يملكون الأذونات المناسبة الوصول إلى تنويعات المنتجات غير المنشورة. تؤثر هذه المشكلة تحديداً على المواقع التي تحتوي على منتجات منشورة وتنويعات منتجات غير منشورة.

تسمح ثغرة في التصريح غير الصحيح بالتصفح القسري. يفشل النموذج في التحقق بشكل كافٍ من الوصول إلى العلاقة بين العروض الترويجية والقسائم. وبناءً على ذلك، يمكن للمستخدم المصرح له فقط بإدارة العروض الترويجية الخاصة به تعديل أو حذف القسائم المرتبطة بعروض ترويجية أخرى. يتم التخفيف من هذه المشكلة إذا كان الموقع لا يقبل عمليات الكتابة عبر JSON:API أو REST، حيث تكون هذه الميزات معطلة افتراضيًا.

توجد مشكلة في التصريح غير الصحيح تسمح بالتصفح القسري عند حفظ المتجر. يفشل النظام في التحقق من أذونات الوصول بشكل صحيح، مما يمكن المستخدم الذي يملك صلاحية إنشاء المتاجر أو تحرير متجره الخاص من تعيين متجره كمتجر افتراضي للموقع. يؤدي ذلك إلى حصول المستخدم على طلبات لا ينبغي له الوصول إليها عادةً. تؤثر هذه المشكلة بشكل أساسي على المواقع التي تمنح هذه الأذونات لمستخدمين غير موثوقين، مثل مواقع الأسواق الإلكترونية حيث يدير البائعون متاجرهم الخاصة.

يحدث تزوير الطلبات عبر المواقع (CSRF) عندما يتم خداع المستخدم لتنفيذ إجراء لم يكن ينوي القيام به. في هذه الحالة، لا تتحقق مسارات صندوق الوارد من رموز CSRF. يمكن للمهاجم خداع مستخدم لديه صلاحية "access commerce administration pages" لزيارة صفحة خبيثة تؤدي إلى تجاهل الإشعارات. نظرًا لأن صندوق الوارد مشترك، فإن هذا الإجراء يخفي الرسائل، بما في ذلك إشعارات تحديثات الأمان، عن جميع المسؤولين.

توجد مشكلة حيث لا يقوم الموديل بتقييد تنويعات المنتجات التي تعيدها استعلامات الكيان بشكل كافٍ لتقتصر على التنويعات التي يمكن للمستخدم الحالي عرضها. عند تمكين موديل JSON:API الأساسي، يمكن للمهاجم إجراء تصفح قسري من خلال إرسال طلبات متكررة لتحديد قيم حقول معينة في تنويعات المنتجات غير المنشورة، أو تنويعة لمنتج غير منشور.

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري. لا يقوم الموديل بتقييد الوصول إلى حقول الترخيص بشكل كافٍ للمستخدمين الذين لديهم صلاحية `update own commerce license`. وبناءً على ذلك، يمكن لمالك الترخيص تغيير حالة الترخيص والحقوق الممنوحة من خلاله، مما قد يؤدي إلى تصعيد الامتيازات وصولاً إلى دور المسؤول (Administrator).

تسمح ثغرة في التصريح غير الصحيح بالتصفح القسري (forceful browsing) ضمن الوحدة المستخدمة لتنظيم المنتجات الملموسة في شحنات للتنفيذ. تفشل الوحدة في حماية مراجع الشحنات وحقول كيان الشحنة بشكل كافٍ، مما يؤدي إلى تجاوز صلاحيات الوصول. يمكن أن يؤدي ذلك إلى تعديل حالات الشحنات بشكل غير لائق أو حذف الشحنات. يتطلب الاستغلال أن يمتلك المهاجم عربة تسوق بصلاحية وصول قائمة على واجهة برمجة التطبيقات (API) للتلاعب بالشحنات.

توجد مشكلة في التصريح غير الصحيح في الوحدة المستخدمة لتنظيم المنتجات الملموسة في شحنات للتنفيذ. يفشل النظام في التحقق بشكل كافٍ من أذونات الوصول في النموذج المستخدم لإعادة إرسال الإيصالات. في ظل تكوينات معينة، يسمح هذا للمستخدمين غير المصرح لهم بإجراء تصفح قسري للوصول إلى الإيصالات ومعلومات العملاء الحساسة لطلبات لا يُسمح لهم بمشاهدتها.

توجد ثغرة من نوع تزوير الطلبات عبر المواقع (CSRF) في الوحدة المستخدمة للتكامل مع واجهة برمجة تطبيقات Stripe Connect. عند إعادة التوجيه إلى Stripe Connect لإنشاء رمز تفويض، تفشل الوحدة في تضمين رمز CSRF في URI العودة. يتيح ذلك للمهاجم خداع المسؤول للنقر على رابط يتجاوز عملية الدفع، مما يؤدي إلى تحديد الطلبات على أنها مدفوعة دون معالجة الدفع الفعلي.

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى إمكانية حدوث ثغرة نصية عابرة للمواقع (XSS). تحدث هذه المشكلة عند استخدام الوحدة لتكوين المتجر عبر واجهة برمجة تطبيقات Stripe Connect. يتطلب الاستغلال أن يمتلك المهاجم صلاحيات مسؤول لتكوين بوابات الدفع بالتزامن مع اختراق خدمة خارجية.

An incorrect authorization issue allows forceful browsing. The module fails to sufficiently validate transaction results when using the Payflow Link payment gateway, which enables a malicious user to mark transactions as completed without providing payment.

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (XSS) بسبب عدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحة الويب. تفشل الوحدة النمطية في تنقية تعليقات العملاء بشكل كافٍ داخل قالب البريد الإلكتروني الخاص بإيصال الطلب. تؤثر هذه المشكلة بشكل خاص على التثبيتات التي يتم فيها تمكين الوحدة النمطية `commerce checkout` واستخدام جزء الدفع `customer comments` بشكل صريح، حيث إن هذا الجزء معطل افتراضيًا.