Julian Pustkuchen

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري عند استخدام Drupal Commerce مع وحدة JSON:API. يتيح ذلك للمستخدمين الذين لا يملكون الأذونات المناسبة الوصول إلى تنويعات المنتجات غير المنشورة. تؤثر هذه المشكلة تحديداً على المواقع التي تحتوي على منتجات منشورة وتنويعات منتجات غير منشورة.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة لأن النص الذي يدخله المستخدم يتم استخدامه كجزء من الشريحة دون تصفية مناسبة. تتطلب هذه المشكلة أن يمتلك المهاجم دوراً بصلاحيات تحرير التعليق.

يسمح خلل في التفويض بالتصفح القسري عبر مسار يُستخدم لعرض كيانات المحتوى المنشورة في مربع حوار. يفشل النظام في التحقق بشكل كافٍ مما إذا كان المستخدم الحالي يملك صلاحية الوصول إلى الكيان المحدد المطلوب. يتم التخفيف من حدة هذه المشكلة من خلال إرجاع المخرجات المعالجة فقط، مع استمرار فرض ضوابط الوصول على مستوى الحقل.

يسمح التعديل غير الخاضع للرقابة بشكل صحيح لسمات الكائنات المحددة ديناميكيًا في وحدة Block AJAX بحقن الكائنات. تفشل الوحدة في التحقق بشكل كافٍ من البيانات التي يوفرها المستخدم والتي تُستخدم لإنشاء كتلة، مما قد يؤدي إلى حقن كائنات PHP وتنفيذ رموز عن بُعد. تؤثر هذه المشكلة تحديدًا على المواقع التي تم تفعيل Layout Builder فيها أو إضافات الكتل الأخرى التي تتعامل مع البيانات التي تمررها هذه الوحدة بطريقة غير آمنة.

توجد مشكلة في التصريح غير الصحيح في الوحدة المستخدمة لتقييد الوصول إلى مسارات JSON:API بناءً على أدوار المستخدمين. تفشل الوحدة في فرض ضوابط الوصول بشكل كافٍ عندما تحاكي الطلبات XMLHttpRequest (كائن متصفح يستخدم للتفاعل مع الصفحات دون إعادة تحميلها)، مما يسمح بالتصفح القسري.

Stored cross-site scripting (XSS) occurs because the module does not sufficiently sanitize tab titles. This allows an attacker to insert HTML with specific attributes on a page displaying an entity browser. Cross-site scripting is a flaw where malicious scripts are injected into trusted websites.

تسمح مشكلة تتعلق بنقص في إجراءات التفويض بالتصفح القسري عند عرض الصور باستخدام مُنسق عرض معرض الصور PhotoSwipe. تفشل الوحدة النمطية في التحقق بشكل كافٍ من أذونات الوصول، مما قد يسمح للمستخدمين غير المصرح لهم بعرض الصور التي ينبغي تقييد الوصول إليها.

تتعلق المشكلة بـ«التعقيم غير السليم للمدخلات أثناء إنشاء صفحة الويب»، والمعروف أيضًا باسم «التنفيذ البرمجي عبر المواقع» (XSS). وهذا يسمح للمهاجم بتنفيذ هجمات «التنفيذ البرمجي عبر المواقع» (XSS).

تؤثر المشكلة على وحدة COOKiES Consent Management، مما يسمح بـ «التنفيذ البرمجي عبر المواقع» (XSS) بسبب عدم معالجة المدخلات بشكل مناسب أثناء إنشاء صفحة الويب.

تتعلق المشكلة بـ«التعقيم غير السليم للمدخلات أثناء إنشاء صفحات الويب»، والمعروف أيضًا باسم «التنفيذ البرمجي عبر المواقع» (XSS)، في مرشح Drupal SpamSpan. وهذا يسمح بوقوع هجمات «التنفيذ البرمجي عبر المواقع» (XSS).