Kostia Bohach

يحدث ثغرة Cross-site Scripting (XSS) مخزنة لأن الوحدة لا تقوم بتطهير السمات المستخدمة لتحديد سمات مخصصة للكتلة بشكل كافٍ. يسمح هذا للمهاجم الذي يمتلك صلاحية `administer blocks` بحقن نصوص برمجية خبيثة في صفحات الويب. Cross-site Scripting هي ثغرة يتم من خلالها إدراج بيانات غير موثوقة في صفحة ويب دون التحقق من صحتها أو ترميزها بشكل صحيح، مما يسمح بتنفيذ النصوص البرمجية في متصفح الضحية.

يسمح التعديل غير الخاضع للرقابة بشكل صحيح لسمات الكائنات المحددة ديناميكيًا في وحدة Formatter Field بإدخال كائنات (Object Injection). يحدث هذا لأن الوحدة تخزن البيانات كسلاسل مُسلسلة بلغة PHP، وإذا تمت كتابة بيانات ضارة مباشرةً في الحقل، فيمكن تشغيلها أثناء عملية إلغاء التسلسل. يتطلب استغلال هذه الثغرة أن يكون لدى المهاجم أذونات لتحرير كيان محتوى مرفق بحقل `formatter field`. بالإضافة إلى ذلك، يجب تمكين الوحدة النمطية الأساسية JSON:API مع الخيار ”قبول جميع عمليات إنشاء وقراءة وتحديث وحذف JSON:API“، أو يجب أن يكون لدى المهاجم طريقة بديلة لتحرير قيم الحقول مباشرةً.

يوجد عيب في Drupal Block Attributes يسمح بتنفيذ البرمجة النصية عبر المواقع (XSS). ترجع هذه المشكلة إلى عدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحة الويب.

يحتوي البرنامج على ثغرة أمنية تتمثل في «التعاطي غير السليم مع المدخلات أثناء إنشاء صفحة الويب»، مما يسمح بتنفيذ «التنفيذ البرمجي عبر المواقع» (XSS).