Joshua Sedler

يسمح خلل في التفويض بالتصفح القسري عبر مسار يُستخدم لعرض كيانات المحتوى المنشورة في مربع حوار. يفشل النظام في التحقق بشكل كافٍ مما إذا كان المستخدم الحالي يملك صلاحية الوصول إلى الكيان المحدد المطلوب. يتم التخفيف من حدة هذه المشكلة من خلال إرجاع المخرجات المعالجة فقط، مع استمرار فرض ضوابط الوصول على مستوى الحقل.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة لأن النص الذي يدخله المستخدم يتم استخدامه كجزء من الشريحة دون تصفية مناسبة. تتطلب هذه المشكلة أن يمتلك المهاجم دوراً بصلاحيات تحرير التعليق.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة لأن الوحدة لا تقوم بتطهير السمات المطبقة على عناصر حاوية روابط القائمة بشكل كافٍ. تتطلب هذه المشكلة أن يمتلك المهاجم صلاحيات "Administer menus and menu links" و "Use menu link attributes". بالإضافة إلى ذلك، يجب أن يكون قد تم تكوين سمة حاوية غير آمنة مسبقًا بواسطة مستخدم لديه صلاحية "Administer menu link attributes". التكوين الافتراضي غير متأثر.

يسمح التعديل غير الخاضع للرقابة بشكل صحيح لسمات الكائنات المحددة ديناميكيًا في وحدة Block AJAX بحقن الكائنات. تفشل الوحدة في التحقق بشكل كافٍ من البيانات التي يوفرها المستخدم والتي تُستخدم لإنشاء كتلة، مما قد يؤدي إلى حقن كائنات PHP وتنفيذ رموز عن بُعد. تؤثر هذه المشكلة تحديدًا على المواقع التي تم تفعيل Layout Builder فيها أو إضافات الكتل الأخرى التي تتعامل مع البيانات التي تمررها هذه الوحدة بطريقة غير آمنة.

توجد مشكلة في التصريح غير الصحيح في وظيفة دمج الكيانات تسمح بالتصفح القسري. لا يقيد النموذج الوصول إلى عمليات إدارة الكيانات بشكل كافٍ، مما يسمح للمستخدمين الذين يمكنهم عرض المحتوى بحذف العقد أو مصطلحات التصنيف أو كيانات الوسائط التعسفية.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة لأن الوحدة لا تقوم بتطهير المدخلات التي يوفرها المستخدم بشكل كافٍ، مثل علامات alt للصور، في نص التعليق الديناميكي الخاص بها. يسمح هذا للمهاجم الذي يمتلك دوراً يسمح له بإدخال محتوى HTML بتنفيذ برمجيات خبيثة. Cross-site Scripting هي ثغرة يتم من خلالها حقن برمجيات خبيثة في مواقع ويب موثوقة.

توجد مشكلة في التصريح غير الصحيح في الوحدة المستخدمة لتقييد الوصول إلى مسارات JSON:API بناءً على أدوار المستخدمين. تفشل الوحدة في فرض ضوابط الوصول بشكل كافٍ عندما تحاكي الطلبات XMLHttpRequest (كائن متصفح يستخدم للتفاعل مع الصفحات دون إعادة تحميلها)، مما يسمح بالتصفح القسري.

تسمح مشكلة تتعلق بنقص في إجراءات التفويض بالتصفح القسري عند عرض الصور باستخدام مُنسق عرض معرض الصور PhotoSwipe. تفشل الوحدة النمطية في التحقق بشكل كافٍ من أذونات الوصول، مما قد يسمح للمستخدمين غير المصرح لهم بعرض الصور التي ينبغي تقييد الوصول إليها.

يوجد ثغرة في وظائف Drupal CAPTCHA بسبب عدم إبطال صلاحية الرموز الأمنية بشكل كافٍ. قد يتمكن المهاجم من تجاوز اختبار CAPTCHA في عمليات الإرسال اللاحقة إذا نجح أولاً في حل اختبار CAPTCHA واحد على الأقل يدويًّا للحصول على رموز صالحة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: Drupal COOKiES Consent Management، الإصدارات الأقدم من 1.2.16 الوصف: توجد ثغرة أمنية من نوع Cross-Site Scripting (XSS) في Drupal COOKiES Consent Management. وتؤثر هذه الثغرة على الإصدارات التي تستخدم الوحدة الفرعية COOKiES Video. التوصيات: قم بالتحديث إلى الإصدار 1.2.16.

تؤثر المشكلة على وحدة COOKiES Consent Management، مما يسمح بـ «التنفيذ البرمجي عبر المواقع» (XSS) بسبب عدم معالجة المدخلات بشكل مناسب أثناء إنشاء صفحة الويب.

تتعلق المشكلة بـ«التعقيم غير السليم للمدخلات أثناء إنشاء صفحات الويب»، والمعروف أيضًا باسم «التنفيذ البرمجي عبر المواقع» (XSS)، في مرشح Drupal SpamSpan. وهذا يسمح بوقوع هجمات «التنفيذ البرمجي عبر المواقع» (XSS).