Juraj Nemec

Authentication Bypass Using an Alternate Path or Channel vulnerability in Drupal DocCheck Basic allows Authentication Bypass. This issue affects DocCheck Basic versions: 7.x.

يتيح Single Content Sync تصدير واستيراد المحتوى والكيانات المرجعية والملفات بين مواقع Drupal. يمكن أن يتسبب ملف استيراد مصمم بشكل خبيث في إلغاء تسلسل بيانات غير موثوقة، مما قد يؤدي إلى تنفيذ رموز عن بُعد عبر حقن الكائنات (Object Injection). يتطلب هذا الخلل أن يمتلك المهاجم دوراً يتمتع بصلاحية "import single content".

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري عند استخدام Drupal Commerce مع وحدة JSON:API. يتيح ذلك للمستخدمين الذين لا يملكون الأذونات المناسبة الوصول إلى تنويعات المنتجات غير المنشورة. تؤثر هذه المشكلة تحديداً على المواقع التي تحتوي على منتجات منشورة وتنويعات منتجات غير منشورة.

يوفر هذا النموذج إطار عمل لدمج مزودي وميزات الذكاء الاصطناعي في Drupal. تحدث المشكلة لأن النموذج لا يقوم بتطهير بعض سمات HTMX بشكل كافٍ، مما يؤدي إلى ثغرة Cross-Site Scripting (XSS)، حيث يمكن حقن نصوص برمجية خبيثة في صفحات الويب.

توجد مشكلة في التصريح غير الصحيح في الوحدة المستخدمة لتنظيم المنتجات الملموسة في شحنات للتنفيذ. يفشل النظام في التحقق بشكل كافٍ من أذونات الوصول في النموذج المستخدم لإعادة إرسال الإيصالات. في ظل تكوينات معينة، يسمح هذا للمستخدمين غير المصرح لهم بإجراء تصفح قسري للوصول إلى الإيصالات ومعلومات العملاء الحساسة لطلبات لا يُسمح لهم بمشاهدتها.

يتيح Single Content Sync تصدير واستيراد المحتوى والكيانات المرجعية والملفات بين مواقع Drupal. يفشل الموديل في التحقق بشكل كافٍ من مصادر ووجهات الملفات أثناء استيراد المحتوى، مما يؤدي إلى حدوث Path Traversal (تخطي المسار). يسمح هذا للمهاجم بكتابة ملفات عشوائية، أو الكشف عن ملفات محلية حساسة يمكن لخادم الويب الوصول إليها، أو التسبب في قيام الخادم بإرسال طلبات إلى موارد داخلية أو خارجية. اعتمادًا على تكوين الخادم، قد يؤدي ذلك إلى تنفيذ رموز عن بُعد. تتطلب عملية الاستغلال الحصول على صلاحية *import single content*.

يسمح خطأ في التفويض في وحدة الذكاء الاصطناعي (AI) بحقن الموارد. تفشل الوحدة في التحقق من صحة الروابط بشكل كافٍ في ظل ظروف معينة، مما قد يؤدي إلى تسريب معلومات حساسة إلى مواقع خارجية. يحدث هذا عندما يستخدم المهاجم مصادر غير موثوقة عند التفاعل مع وحدة الذكاء الاصطناعي بطريقة تؤدي إلى إنتاج HTML مُصيّر.

تحدث مشكلة في الوحدة الفرعية AI Chatbot عندما لا يتم تصفية إدخالات المستخدم بشكل كافٍ قبل عرضها على صفحة الويب، مما يؤدي إلى حدوث Cross-Site Scripting (XSS). يحدث هذا في ظل تكوينات معينة ويتطلب أن يمتلك المهاجم صلاحيات إدارة الكتل (blocks).

تسمح مستويات التحكم في الوصول التي تم تكوينها بشكل غير صحيح في submódulo AI Search بأن يحتوي ذاكرة التخزين المؤقت لمتصفح الويب على معلومات حساسة. بينما يتحقق backend الخاص بـ AI Search من الوصول لكل نتيجة بحث، يتم تجاهل هذا التحقق عندما يقوم Search API بتخزين نتائج العرض (view) مؤقتًا. نتيجة لذلك، قد يتمكن المستخدمون من رؤية نتائج بحث مخزنة مؤقتًا، مثل العناوين والحقول الخاصة بمحتوى غير منشور أو مقيد الوصول، إذا قام مستخدم لديه الصلاحيات المناسبة بإجراء نفس البحث خلال فترة صلاحية التخزين المؤقت. يحدث هذا عندما يكون submódulo AI Search مفعلًا ويستخدم عرض Search API تخزينًا مؤقتًا للنتائج يعتمد على الوقت، أو العلامات (tags)، أو كليهما.

يحدث تخزين غير آمن للمعلومات الحساسة عندما يتم كتابة ملفات الصوت لطلبات تحويل الكلام إلى نص في ملف واحد داخل الدليل المؤقت ولا يتم حذفها بعد المعالجة. يتيح ذلك للمهاجم الذي يملك صلاحية القراءة للدليل المؤقت للموقع—سواء عبر استضافة مشتركة أو من خلال كود آخر يكشف الملفات المؤقتة—استرجاع البيانات الصوتية التي أرسلها مستخدمون آخرون للنسخ.

يوجد خلل في تجاوز المصادقة في الوحدة التي تمكن المصادقة عبر بروتوكول OpenID Connect (oAuth2). عندما يقوم مستخدم جديد بتسجيل الدخول، تحاول الوحدة ربط المستخدم بحساب موجود له نفس عنوان البريد الإلكتروني. يسمح هذا بالاستيلاء على أي حساب Drupal موجود، باستثناء المستخدم 1، بشرط ألا يكون الحساب قد تم ربطه بمستخدم OpenID Connect بعد. تزداد احتمالية حدوث هذه المشكلة إذا تم تكوين الموقع لاستخدام مزود لا يتحقق من عناوين البريد الإلكتروني للمستخدمين.

تسمح ثغرة في التصريح غير الصحيح بالتصفح القسري (forceful browsing) ضمن الوحدة المستخدمة لتنظيم المنتجات الملموسة في شحنات للتنفيذ. تفشل الوحدة في حماية مراجع الشحنات وحقول كيان الشحنة بشكل كافٍ، مما يؤدي إلى تجاوز صلاحيات الوصول. يمكن أن يؤدي ذلك إلى تعديل حالات الشحنات بشكل غير لائق أو حذف الشحنات. يتطلب الاستغلال أن يمتلك المهاجم عربة تسوق بصلاحية وصول قائمة على واجهة برمجة التطبيقات (API) للتلاعب بالشحنات.

توجد ثغرة من نوع تزوير الطلبات عبر المواقع (CSRF) في الوحدة المستخدمة للتكامل مع واجهة برمجة تطبيقات Stripe Connect. عند إعادة التوجيه إلى Stripe Connect لإنشاء رمز تفويض، تفشل الوحدة في تضمين رمز CSRF في URI العودة. يتيح ذلك للمهاجم خداع المسؤول للنقر على رابط يتجاوز عملية الدفع، مما يؤدي إلى تحديد الطلبات على أنها مدفوعة دون معالجة الدفع الفعلي.

يؤدي التحقق غير السليم من التوقيعات التشفيرية في الوحدة إلى إمكانية تزوير التوقيع (signature spoofing). تحدث هذه المشكلة عندما لا يتم تكوين سر التوقيع بشكل صحيح في إعدادات بوابة الدفع، مما يؤدي إلى عدم التحقق الكافي من توقيعات أحداث الـ webhook. الـ webhooks هي رسائل مؤتمتة يرسلها Stripe إلى التطبيق لإخطاره بالأحداث، مثل عمليات الدفع الناجحة.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة بسبب عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب. يفشل المكون الفرعي AI Automator، الذي يتيح ملء الحقول تلقائيًا بناءً على حقول أخرى، في التحقق بشكل كافٍ من صلاحيات الوصول إلى تنسيقات النصوص. يسمح هذا للمستخدمين بكتابة بيانات الحقول بتنسيقات نصوص لا يملكون صلاحية الوصول إليها.

تسمح ثغرة فقدان التفويض بالتصفح القسري وتجاوز التحكم في الوصول. ينبع هذا الخلل من الحماية غير الكافية للمسارات وحقول الكيانات، مما يسمح للمهاجمين غير المصرح لهم بتنفيذ إجراءات مميزة، وتعديل الطلبات، والوصول إلى بيانات دفع العملاء أو معلومات تحديد الهوية الشخصية (PII). يؤثر هذا الأمر على عربة التسوق، وعملية الدفع، ووظائف واجهة برمجة التطبيقات (API). ويُقدر أن أكثر من 42,000 عملية تثبيت قد تأثرت. هناك تأكيدات على وجود استغلال نشط لهذه الثغرة، بما في ذلك حالات طلبات احتيالية على مواقع حقيقية.

تسمح ثغرة في التصريح غير الصحيح بالتصفح القسري. يفشل النموذج في التحقق بشكل كافٍ من الوصول إلى العلاقة بين العروض الترويجية والقسائم. وبناءً على ذلك، يمكن للمستخدم المصرح له فقط بإدارة العروض الترويجية الخاصة به تعديل أو حذف القسائم المرتبطة بعروض ترويجية أخرى. يتم التخفيف من هذه المشكلة إذا كان الموقع لا يقبل عمليات الكتابة عبر JSON:API أو REST، حيث تكون هذه الميزات معطلة افتراضيًا.

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى حدوث ثغرة Cross-Site Scripting (XSS). لا يقوم الموديل بتقييد عرض HTML بشكل كافٍ، مما يسمح بتنفيذ نصوص برمجية خبيثة في ظل ظروف معينة. يتم التخفيف من هذه المشكلة بكون المهاجم يحتاج إلى الوصول إلى تنسيق نصي يمكنه عرض HTML.

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى حدوث ثغرة Cross-Site Scripting (XSS). لا يقوم الموديل بالتحقق من صحة روابط Markdown بشكل كافٍ في ظل ظروف معينة، مما قد يسمح بتنفيذ برمجيات خبيثة في متصفح المستخدم.

توجد مشكلة أمنية في مشروع Drupal CacheFlush. تم تصنيف المشروع حاليًا على أنه غير مدعوم، ولا تزال المشكلة قائمة دون إصلاح من قبل المسؤول عن الصيانة.