Matt Glaman

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري عند استخدام Drupal Commerce مع وحدة JSON:API. يتيح ذلك للمستخدمين الذين لا يملكون الأذونات المناسبة الوصول إلى تنويعات المنتجات غير المنشورة. تؤثر هذه المشكلة تحديداً على المواقع التي تحتوي على منتجات منشورة وتنويعات منتجات غير منشورة.

An incorrect authorization issue in the Entity API allows forceful browsing. The module fails to correctly apply access controls for JSON:API entity collection endpoints, leading to an information disclosure. This issue occurs when the JSON:API module is enabled alongside the Entity API module.

يحتوي مكون Drupal Canvas على ثغرة في التفويض تسمح بالتصفح القسري لصفحات Canvas عندما تكون غير منشورة. لا يقوم المكون بالتحقق بشكل صحيح من صحة الوصول إلى صفحات Canvas، مما قد يسمح بالوصول غير المصرح به. يتم التخفيف من حدة هذه المشكلة بحقيقة أن مراقبة المحتوى غير ممكّنة بشكل افتراضي وأن الأرشفة ليست إحدى ميزات المكون.

The issue is related to a Cross-Site Request Forgery (CSRF) vulnerability in the Acquia DAM module of the Drupal CMS system. This vulnerability can be exploited by a remote attacker to perform a CSRF attack or cause a denial of service.