Lee Rowlands

تسمح ثغرة فقدان التفويض بالتصفح القسري وتجاوز التحكم في الوصول. ينبع هذا الخلل من الحماية غير الكافية للمسارات وحقول الكيانات، مما يسمح للمهاجمين غير المصرح لهم بتنفيذ إجراءات مميزة، وتعديل الطلبات، والوصول إلى بيانات دفع العملاء أو معلومات تحديد الهوية الشخصية (PII). يؤثر هذا الأمر على عربة التسوق، وعملية الدفع، ووظائف واجهة برمجة التطبيقات (API). ويُقدر أن أكثر من 42,000 عملية تثبيت قد تأثرت. هناك تأكيدات على وجود استغلال نشط لهذه الثغرة، بما في ذلك حالات طلبات احتيالية على مواقع حقيقية.

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري. يفشل النموذج في تقييد الوصول بشكل كافٍ إلى الحقول التي تم تكوينها كـ Private في أنواع الكيانات التي تفتقر إلى حقل للمؤلف (مثل حساب المستخدم أو المالك). نتيجة لذلك، يمكن عرض هذه الحقول الخاصة، وإذا كان الكيان قابلاً للتحرير، فيمكن تعديله من قبل أي مستخدم يمكنه رؤيته، بما في ذلك المستخدمون المجهولون. لا تؤثر هذه المشكلة على الحقول المحددة كـ Private في العقد أو المستخدمين أو الوسائط أو التعليقات أو أنواع الكيانات الأخرى التي لها مؤلف، كما لا تؤثر على الحقول التي تستخدم أذونات مخصصة.

يتيح Single Content Sync تصدير واستيراد المحتوى والكيانات المرجعية والملفات بين مواقع Drupal. يمكن أن يتسبب ملف استيراد مصمم بشكل خبيث في إلغاء تسلسل بيانات غير موثوقة، مما قد يؤدي إلى تنفيذ رموز عن بُعد عبر حقن الكائنات (Object Injection). يتطلب هذا الخلل أن يمتلك المهاجم دوراً يتمتع بصلاحية "import single content".

يسمح خطأ في التفويض بالتصفح القسري بسبب عدم التحقق الكافي من الامتيازات الإدارية عند فحص الوصول إلى الحقول المحمية. يتيح ذلك للمستخدمين المعينين لدور يحمل اسم الآلة `administrator` (بشرط ألا يكون محددًا كدور المسؤول الفعلي للموقع) تجاوز قيود الوصول على مستوى الحقل والحصول على صلاحيات عرض وتحرير غير مصرح بها للحقول المحمية.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة لأن قوالب twig لا تقوم بتطهير القيم الممرة إلى علامات التنسيق بشكل كافٍ. تتطلب هذه المشكلة أن يمتلك المهاجم دوراً يسمح له بتحرير المحتوى الذي يستخدم حزم الفقرات التي يوفرها النموذج.

توجد مشكلة في وحدة Link الخاصة بـ Drupal core، والتي توفر نوع حقل لعناوين URL الداخلية والخارجية. تفشل الوحدة في تعقيم بعض العلامات (markup) بشكل كافٍ في ظروف معينة، مما يؤدي إلى ثغرات Cross-Site Scripting (XSS)، وهي حالة يتم فيها حقن نصوص برمجية خبيثة في المواقع الموثوقة.

توجد مشكلة انعكاس غير آمن (Unsafe Reflection) حيث يمكن استخدام مدخلات يتم التحكم فيها خارجيًا لاختيار فئات أو أكواد، مما يؤدي إلى حقن الانعكاس (Reflection Injection). تسمح هذه الثغرة بتنفيذ رموز عن بُعد. وعلى الرغم من أن المشكلة لا يمكن استغلالها مباشرة باستخدام الوحدة وحدها، إلا أن هناك مسارات استغلال خطيرة متعددة عند دمجها مع وحدات مساهمة أخرى، بما في ذلك مسار واحد على الأقل لا يتطلب مصادقة. قد تؤدي الأكواد المخصصة أيضًا إلى تعريض هذه الوظيفة للخطر.

توجد مشكلة حيث لا يقوم موديل Navigation بتطهير بعض السمات بشكل كافٍ، مما يؤدي إلى حدوث Cross-Site Scripting (XSS)، وهي حالة يتم فيها حقن برمجيات خبيثة في مواقع ويب موثوقة. يتطلب الاستغلال أن يمتلك المهاجم دوراً لديه صلاحية إدخال وسوم HTML تحتوي على سمات بيانات محددة، أو صلاحية `administer menu`.

توجد ثغرة تنفيذ عن بُعد للكود في وحدة Field UI (`field ui`) ضمن Drupal core. على الرغم من أن هذه الثغرة لا يمكن استغلالها مباشرة باستخدام وظائف core وحدها، إلا أن هناك مسارات استغلال خطيرة متعددة متاحة من خلال استخدام وحدات مساهمة أو كود مخصص. يسمح أحد مسارات الاستغلال المعروفة على الأقل بتنفيذ كود عن بُعد دون الحاجة إلى مصادقة. هناك حوالي 151,000 موقع متأثر محتمل بسبب استخدام إصدارات قديمة من نظام إدارة المحتوى. يمكن استخدام هذه الثغرة لتحقيق تحرك جانبي من خوادم الويب المخترقة إلى البنية التحتية الداخلية.

An issue exists where user-specific access rules are not sufficiently guarded against malformed saved configurations. Under specific site conditions, an access rule designed to restrict submission access to selected user accounts may inadvertently grant access to anonymous users. Approximately 436,300 instances of Drupal were identified globally as potentially exposed.

يحدث ثغرة Cross-Site Scripting (XSS) مخزنة عندما لا يقوم الموديول بتقييد الوصول إلى تحرير مصدر نموذج الويب الخام بشكل كافٍ عندما يكون موديول Webform UI غير مفعل. يسمح هذا للمستخدم الذي لديه صلاحيات إنشاء أو تحرير نماذج الويب بإدخال تكوينات مصدر يتم عرضها بشكل غير آمن. XSS المخزن هو خلل أمني حيث يتم تخزين نص برمجى خبيث بشكل دائم على الخادم المستهدف ويتم تنفيذه في متصفح المستخدمين الذين يشاهدون الصفحة المتأثرة.

The Webform module contains a rating element that does not sufficiently validate data. This flaw could allow cross-site scripting (XSS), a technique where malicious scripts are injected into trusted websites, on pages containing a rating element. Exploitation requires the attacker to be able to place crafted HTML markup on the same page as the rating element. Approximately 436,300 instances of Drupal were identified globally as potentially exposed.

The Webform module, used for creating forms and processing submissions, contains a flaw in how it handles Remote Post handlers. These handlers send data to external servers via APIs. The module fails to sufficiently filter response values from the Remote Post handler before they are rendered through handler response tokens. Consequently, if a site uses these tokens in rendered output, a remote endpoint could return values that are rendered as HTML, leading to cross-site scripting (XSS), where malicious scripts are injected into trusted websites. Approximately 436,300 instances were identified globally.

The Webform module fails to sufficiently sanitize text counter configuration before passing options to the bundled jQuery Text Counter library. This flaw allows markup from counter-related settings to be inserted into the page, resulting in cross-site scripting (XSS), a technique where malicious scripts are injected into trusted websites. Exploitation requires the attacker to have permissions to create or edit affected Webform elements or to place crafted counter markup on a page where the Webform counter JavaScript is active. Approximately 436,300 instances of Drupal were identified globally as potentially exposed.

The Webform module fails to properly force the download of certain uploaded file types when they are served. In specific site configurations, a file uploaded via a webform can be rendered inline by a browser, leading to cross-site scripting (XSS), where malicious scripts are executed in the victim's browser. Approximately 436,300 instances were identified globally. This issue requires a user with permissions to create or edit webforms to allow the affected file extensions, and a victim must manually open the uploaded file.

The Webform module fails to sufficiently sanitize attributes used by its color element. This can lead to cross-site scripting (XSS), a technique where malicious scripts are injected into trusted websites, when the element is rendered. Exploitation requires the attacker to add a specially crafted link with a specific class to the same page as the affected webform. Approximately 436,400 instances of Drupal were identified globally as potential targets.

An issue exists in the Webform module, which is used to create forms and collect submissions. Due to improper sanitization of announcement text used for assistive technologies, specially crafted input can lead to cross-site scripting. Approximately 436,400 instances of Drupal were identified globally as potentially exposed. Remote code execution is also possible.

Insufficient sanitization of tooltips and help text within the Webform module allows for cross-site scripting (XSS), a technique where malicious scripts are injected into trusted websites. Exploitation requires the attacker to possess permissions to create or edit the affected Webform configuration or content. Approximately 436,300 instances of Drupal were identified globally as potentially exposed.

When the Webform module is used with JSON:API enabled, submissions may be cached without varying correctly by the authenticated user. This occurs when a webform is configured to allow authenticated users to view their own submissions, potentially causing a request to the JSON:API webform submission collection endpoint to return a cached response generated for a different user. Consequently, an authenticated user may view another user's webform submission data. Approximately 436,300 instances of Drupal were identified globally as potentially exposed. This issue requires JSON:API to be enabled, the affected webform to expose submissions through JSON:API, and the attacker to possess an account with permissions to view their own submissions.

يؤدي عدم كفاية دقة التحكم في الوصول في وحدة Webform إلى السماح بالتصفح القسري. لا تقيد الوحدة بشكل كافٍ الوصول إلى تكوين معالجات عمليات HTTP عن بُعد، مما قد يسمح للمستخدم الذي لديه إذن بتحرير نموذج ويب بتكوين عملية HTTP عن بُعد.