Marcus Johansson

يوفر هذا النموذج إطار عمل لدمج مزودي وميزات الذكاء الاصطناعي في Drupal. تحدث المشكلة لأن النموذج لا يقوم بتطهير بعض سمات HTMX بشكل كافٍ، مما يؤدي إلى ثغرة Cross-Site Scripting (XSS)، حيث يمكن حقن نصوص برمجية خبيثة في صفحات الويب.

تسمح ثغرة فقدان التفويض بالتصفح القسري وتجاوز التحكم في الوصول. ينبع هذا الخلل من الحماية غير الكافية للمسارات وحقول الكيانات، مما يسمح للمهاجمين غير المصرح لهم بتنفيذ إجراءات مميزة، وتعديل الطلبات، والوصول إلى بيانات دفع العملاء أو معلومات تحديد الهوية الشخصية (PII). يؤثر هذا الأمر على عربة التسوق، وعملية الدفع، ووظائف واجهة برمجة التطبيقات (API). ويُقدر أن أكثر من 42,000 عملية تثبيت قد تأثرت. هناك تأكيدات على وجود استغلال نشط لهذه الثغرة، بما في ذلك حالات طلبات احتيالية على مواقع حقيقية.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة لأن الوحدة لا تقوم بتطهير المحتوى الذي يوفره المستخدم بشكل كافٍ قبل حفظه في نظام الملفات العام. يسمح هذا لملف مصمم بشكل خبيث باحتواء محتوى نشط أو غير آمن يمكن تنفيذه في متصفح مستخدمين آخرين.

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري، حيث يمكن للمستخدمين الذين لا يملكون الأذونات المطلوبة الوصول إلى نموذج التحديث الجماعي المستخدم لتعيين أو إزالة الأدوار في حسابات مستخدمين متعددة. يتم التخفيف من هذه المشكلة بكون المهاجم يجب أن يمتلك دوراً لديه إذن "administer users".

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى حدوث ثغرة Cross-Site Scripting (XSS). لا يقوم الموديل بالتحقق من صحة روابط Markdown بشكل كافٍ في ظل ظروف معينة، مما قد يسمح بتنفيذ برمجيات خبيثة في متصفح المستخدم.

توجد مشكلة حيث لا يقوم الموديل بالتحقق بشكل كافٍ من روابط ملفات URL بحثًا عن محتوى ضار أثناء محاولة استرداد النسخة الاحتياطية. يؤدي هذا إلى حدوث ثغرة Cross-Site Scripting (XSS)، وهي حالة يتم فيها حقن نصوص برمجية ضارة في المواقع الموثوقة. يتطلب الاستغلال أن يكون الموديل مفعلًا في الموقع المستهدف، وأن يكون المهاجم قادرًا على رفع ملف ضار إلى خادم الأصل المكون للموديل.

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري. لا يقوم الموديل بتقييد الوصول إلى حقول الترخيص بشكل كافٍ للمستخدمين الذين لديهم صلاحية `update own commerce license`. وبناءً على ذلك، يمكن لمالك الترخيص تغيير حالة الترخيص والحقوق الممنوحة من خلاله، مما قد يؤدي إلى تصعيد الامتيازات وصولاً إلى دور المسؤول (Administrator).

يحدث ثغرة Cross-site Scripting (XSS) مخزنة بسبب عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب. يفشل المكون الفرعي AI Automator، الذي يتيح ملء الحقول تلقائيًا بناءً على حقول أخرى، في التحقق بشكل كافٍ من صلاحيات الوصول إلى تنسيقات النصوص. يسمح هذا للمستخدمين بكتابة بيانات الحقول بتنسيقات نصوص لا يملكون صلاحية الوصول إليها.

توجد مشكلة في التصريح غير الصحيح تسمح بالتصفح القسري عند حفظ المتجر. يفشل النظام في التحقق من أذونات الوصول بشكل صحيح، مما يمكن المستخدم الذي يملك صلاحية إنشاء المتاجر أو تحرير متجره الخاص من تعيين متجره كمتجر افتراضي للموقع. يؤدي ذلك إلى حصول المستخدم على طلبات لا ينبغي له الوصول إليها عادةً. تؤثر هذه المشكلة بشكل أساسي على المواقع التي تمنح هذه الأذونات لمستخدمين غير موثوقين، مثل مواقع الأسواق الإلكترونية حيث يدير البائعون متاجرهم الخاصة.

تسمح ثغرة في التصريح غير الصحيح بالتصفح القسري. يفشل النموذج في التحقق بشكل كافٍ من الوصول إلى العلاقة بين العروض الترويجية والقسائم. وبناءً على ذلك، يمكن للمستخدم المصرح له فقط بإدارة العروض الترويجية الخاصة به تعديل أو حذف القسائم المرتبطة بعروض ترويجية أخرى. يتم التخفيف من هذه المشكلة إذا كان الموقع لا يقبل عمليات الكتابة عبر JSON:API أو REST، حيث تكون هذه الميزات معطلة افتراضيًا.

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى حدوث ثغرة Cross-Site Scripting (XSS). لا يقوم الموديل بتقييد عرض HTML بشكل كافٍ، مما يسمح بتنفيذ نصوص برمجية خبيثة في ظل ظروف معينة. يتم التخفيف من هذه المشكلة بكون المهاجم يحتاج إلى الوصول إلى تنسيق نصي يمكنه عرض HTML.

توجد مشكلة حيث لا يقوم الموديل بتقييد تنويعات المنتجات التي تعيدها استعلامات الكيان بشكل كافٍ لتقتصر على التنويعات التي يمكن للمستخدم الحالي عرضها. عند تمكين موديل JSON:API الأساسي، يمكن للمهاجم إجراء تصفح قسري من خلال إرسال طلبات متكررة لتحديد قيم حقول معينة في تنويعات المنتجات غير المنشورة، أو تنويعة لمنتج غير منشور.

تحدث مشكلة في الوحدة الفرعية AI Chatbot عندما لا يتم تصفية إدخالات المستخدم بشكل كافٍ قبل عرضها على صفحة الويب، مما يؤدي إلى حدوث Cross-Site Scripting (XSS). يحدث هذا في ظل تكوينات معينة ويتطلب أن يمتلك المهاجم صلاحيات إدارة الكتل (blocks).

يسمح خطأ في التفويض في وحدة الذكاء الاصطناعي (AI) بحقن الموارد. تفشل الوحدة في التحقق من صحة الروابط بشكل كافٍ في ظل ظروف معينة، مما قد يؤدي إلى تسريب معلومات حساسة إلى مواقع خارجية. يحدث هذا عندما يستخدم المهاجم مصادر غير موثوقة عند التفاعل مع وحدة الذكاء الاصطناعي بطريقة تؤدي إلى إنتاج HTML مُصيّر.

تسمح مستويات التحكم في الوصول التي تم تكوينها بشكل غير صحيح في submódulo AI Search بأن يحتوي ذاكرة التخزين المؤقت لمتصفح الويب على معلومات حساسة. بينما يتحقق backend الخاص بـ AI Search من الوصول لكل نتيجة بحث، يتم تجاهل هذا التحقق عندما يقوم Search API بتخزين نتائج العرض (view) مؤقتًا. نتيجة لذلك، قد يتمكن المستخدمون من رؤية نتائج بحث مخزنة مؤقتًا، مثل العناوين والحقول الخاصة بمحتوى غير منشور أو مقيد الوصول، إذا قام مستخدم لديه الصلاحيات المناسبة بإجراء نفس البحث خلال فترة صلاحية التخزين المؤقت. يحدث هذا عندما يكون submódulo AI Search مفعلًا ويستخدم عرض Search API تخزينًا مؤقتًا للنتائج يعتمد على الوقت، أو العلامات (tags)، أو كليهما.

يحدث تزوير الطلبات عبر المواقع (CSRF) عندما يتم خداع المستخدم لتنفيذ إجراء لم يكن ينوي القيام به. في هذه الحالة، لا تتحقق مسارات صندوق الوارد من رموز CSRF. يمكن للمهاجم خداع مستخدم لديه صلاحية "access commerce administration pages" لزيارة صفحة خبيثة تؤدي إلى تجاهل الإشعارات. نظرًا لأن صندوق الوارد مشترك، فإن هذا الإجراء يخفي الرسائل، بما في ذلك إشعارات تحديثات الأمان، عن جميع المسؤولين.

يحدث تخزين غير آمن للمعلومات الحساسة عندما يتم كتابة ملفات الصوت لطلبات تحويل الكلام إلى نص في ملف واحد داخل الدليل المؤقت ولا يتم حذفها بعد المعالجة. يتيح ذلك للمهاجم الذي يملك صلاحية القراءة للدليل المؤقت للموقع—سواء عبر استضافة مشتركة أو من خلال كود آخر يكشف الملفات المؤقتة—استرجاع البيانات الصوتية التي أرسلها مستخدمون آخرون للنسخ.

توجد مشكلة في Drupal Patreon تؤثر على أمن البرنامج.

توجد ثغرة حقن أوامر نظام التشغيل لأن الوحدة لا تقوم بتطهير أسماء الملفات الممررة إلى أداة واجهة سطر الأوامر ffmpeg بشكل كافٍ. يسمح هذا بالتحييد غير السليم للعناصر الخاصة المستخدمة في أمر نظام التشغيل. يتطلب الاستغلال أن يكون المهاجم قادرًا على تحميل الصور على الموقع.

يوجد خلل في تجاوز المصادقة في وحدة Drupal Domain Login Restrict، المصممة لتقييد تسجيل دخول المستخدمين في المواقع متعددة النطاقات لتقتصر على النطاقات المخصصة لهم فقط. تفشل الوحدة في فرض هذه القيود بشكل كافٍ عندما يقوم المستخدم بالمصادقة عبر طريقة أخرى غير نموذج تسجيل الدخول القياسي. يتطلب الاستغلال أن يمتلك المهاجم حساب مستخدم صالح وأن يكون إعداد "Enable restriction" مفعلًا في صفحة إعدادات Domain. لا يتأثر المستخدمون الذين لديهم إذن "Login to any domain".