Joseph Olstad

يحدث ثغرة Cross-site Scripting (XSS) مخزنة لأن الوحدة لا تقوم بتطهير المحتوى الذي يوفره المستخدم بشكل كافٍ قبل حفظه في نظام الملفات العام. يسمح هذا لملف مصمم بشكل خبيث باحتواء محتوى نشط أو غير آمن يمكن تنفيذه في متصفح مستخدمين آخرين.

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى إمكانية حدوث نص برمجي عابر للمواقع (XSS) لأن القالب لا يقوم بتصفية بعض السمات بشكل كافٍ. تؤثر هذه المشكلة تحديداً على ميزات تلميحات الأدوات (tooltips) والنوافذ المنبثقة (popovers) الاختيارية.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة عندما يفشل المنسق `file uri` في تعقيم أسماء الملفات بشكل صحيح عند عرض الروابط للملفات المرفوعة. يسمح هذا للمهاجم الذي يمتلك صلاحيات رفع الملفات في حقل فرعي لملفات Data Field بحقن نصوص برمجية خبيثة في صفحة الويب. الـ Cross-site Scripting هي ثغرة يتم من خلالها إدخال بيانات غير موثوقة في صفحة ويب دون التحقق من صحتها أو ترميزها بشكل صحيح، مما يسمح بتنفيذ النصوص البرمجية في متصفح الضحية.

يحدث ثغرة نصية برمجية عابرة للمواقع (XSS) مخزنة لأن الوحدة لا تقوم بتطهير عناوين العقد بشكل كافٍ عند عرض تقرير العقد اليتيمة. يسمح هذا للمهاجم الذي لديه صلاحيات إنشاء محتوى من نوع مهيأ لتقرير العقد اليتيمة بحقن نصوص برمجية خبيثة. النص البرمجي العابر للمواقع هو خلل يتم من خلاله حقن نصوص برمجية خبيثة في مواقع ويب موثوقة.

Improper neutralization of input during web page generation allows for Cross-Site Scripting (XSS). The Address Suggestion module, which provides address autocomplete functionality via configured providers, fails to sufficiently sanitize the data returned by these providers. Exploitation requires an attacker to inject malicious content into the data returned by a configured address provider and a user to perform a search that triggers the malicious suggestion.

Two distinct issues were identified. First, a module designed to restrict access to the `/user/login` endpoint via a secret key fails to invalidate relevant caches upon activation. This allows attackers to access the login page through cached responses. Second, a module that exposes structured data via JSON endpoints does not sufficiently verify access permissions. This allows anonymous users to retrieve field values from entities they are not authorized to view, such as unpublished content.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: Drupal Paragraphs table، الإصدارات من 2.0.0 إلى 2.0.4 الوصف: تتعلق المشكلة بـ«التعقيم غير السليم للمدخلات أثناء إنشاء صفحة الويب»، والمعروف أيضًا باسم «التنفيذ البرمجي عبر المواقع» (XSS)، في Drupal Paragraphs table. وهذا يتيح شن هجمات عبر المواقع (XSS). التوصيات: بالنسبة للإصدارات من 2.0.0 إلى 2.0.4، قم بالتحديث إلى الإصدار 2.0.5 أو أحدث لإصلاح المشكلة.

تؤثر هذه المشكلة على Drupal Bootstrap Site Alert، مما يسمح بـ Cross-Site Scripting (XSS) بسبب عدم معالجة المدخلات بشكل مناسب أثناء إنشاء صفحات الويب. وهذا يسمح للمهاجمين بإدخال نصوص برمجية ضارة في صفحات الويب.

تتعلق المشكلة بعدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحات الويب، مما يتيح هجمات البرمجة النصية عبر المواقع (XSS). وقد يتيح ذلك لمهاجم عن بُعد التحايل على قيود الأمان وتنفيذ هجمات البرمجة النصية عبر المواقع.

The issue allows for the insertion of sensitive information into sent data, enabling forceful browsing. This can lead to the disclosure of protected information. The estimated number of potentially affected devices worldwide is not specified. There is no information provided about real-world incidents where this issue was exploited. Technical details about exploitation include the potential for an attacker to reveal sensitive information.

The issue is related to insufficient granularity of access control in Drupal Paragraphs table, which allows content spoofing. This can be exploited by a remote attacker to bypass security restrictions and gain unauthorized access to protected information.