Mohit Aghera

تسمح ثغرة فقدان التفويض بالتصفح القسري وتجاوز التحكم في الوصول. ينبع هذا الخلل من الحماية غير الكافية للمسارات وحقول الكيانات، مما يسمح للمهاجمين غير المصرح لهم بتنفيذ إجراءات مميزة، وتعديل الطلبات، والوصول إلى بيانات دفع العملاء أو معلومات تحديد الهوية الشخصية (PII). يؤثر هذا الأمر على عربة التسوق، وعملية الدفع، ووظائف واجهة برمجة التطبيقات (API). ويُقدر أن أكثر من 42,000 عملية تثبيت قد تأثرت. هناك تأكيدات على وجود استغلال نشط لهذه الثغرة، بما في ذلك حالات طلبات احتيالية على مواقع حقيقية.

يسمح خطأ في التفويض بالتصفح القسري بسبب عدم التحقق الكافي من الامتيازات الإدارية عند فحص الوصول إلى الحقول المحمية. يتيح ذلك للمستخدمين المعينين لدور يحمل اسم الآلة `administrator` (بشرط ألا يكون محددًا كدور المسؤول الفعلي للموقع) تجاوز قيود الوصول على مستوى الحقل والحصول على صلاحيات عرض وتحرير غير مصرح بها للحقول المحمية.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة لأن الوحدة لا تقوم بتطهير السمات المستخدمة لتحديد سمات مخصصة للكتلة بشكل كافٍ. يسمح هذا للمهاجم الذي يمتلك صلاحية `administer blocks` بحقن نصوص برمجية خبيثة في صفحات الويب. Cross-site Scripting هي ثغرة يتم من خلالها إدراج بيانات غير موثوقة في صفحة ويب دون التحقق من صحتها أو ترميزها بشكل صحيح، مما يسمح بتنفيذ النصوص البرمجية في متصفح الضحية.

يسمح خطأ في التفويض بالتصفح القسري. يتيح النموذج لمسؤولي الموقع التحكم في كيفية عرض صفحات الكيانات، سواء بعرض الصفحة، أو إرجاع استجابة "تم رفض الوصول" أو "غير موجود»، أو إعادة توجيه الزائر. تسمح إحدى الثغرات للزوار المجهولين بتجاوز هذه السلوكيات باستخدام معامل استعلام محدد، مما قد يؤدي إلى عرض محتوى تم تكوينه ليكون مخفيًا أو تجنب إعادة التوجيه. بالإضافة إلى ذلك، يتم تخزين إعدادات كل كيان في حقول تفتقر إلى التحكم المناسب في الوصول؛ فبينما يتحقق النموذج من الأذونات لعرض الإعدادات في نموذج التحرير، تتبع الحقول نفسها وصول Drupal الافتراضي. يتيح ذلك للمستخدمين الذين لديهم صلاحية تحرير الكيانات تعديل هذه الإعدادات إذا كان هناك مسار كتابة يتجاوز نموذج الكيان، مثل REST، أو JSON:API مع تفعيل الكتابة، أو Views Bulk Operations.

توجد مشكلة حيث لا يقوم النموذج بتطهير بعض السمات بشكل كافٍ، مما يؤدي إلى حدوث cross-site scripting (XSS)، وهي ثغرة تسمح للمهاجمين بحقن نصوص برمجية خبيثة في صفحات الويب. تم تحديد حوالي 15,300 حالة مصابة عالميًا. يتطلب الاستغلال أن يمتلك المهاجم دورًا لديه إذن لإدخال علامات HTML التي تحتوي على سمات بيانات محددة أو إذن `administer menu`.

توجد مشكلة حيث لا يقوم موديل Navigation بتطهير بعض السمات بشكل كافٍ، مما يؤدي إلى حدوث Cross-Site Scripting (XSS)، وهي حالة يتم فيها حقن برمجيات خبيثة في مواقع ويب موثوقة. يتطلب الاستغلال أن يمتلك المهاجم دوراً لديه صلاحية إدخال وسوم HTML تحتوي على سمات بيانات محددة، أو صلاحية `administer menu`.

توجد مشكلة في وحدة Link الخاصة بـ Drupal core، والتي توفر نوع حقل لعناوين URL الداخلية والخارجية. تفشل الوحدة في تعقيم بعض العلامات (markup) بشكل كافٍ في ظروف معينة، مما يؤدي إلى ثغرات Cross-Site Scripting (XSS)، وهي حالة يتم فيها حقن نصوص برمجية خبيثة في المواقع الموثوقة.

تؤدي عمليات التحقق غير الكافية من الأذونات لكيانات نماذج الويب (webform) وعمليات تقديم النماذج عند استرداد عناصر أو حقول نموذج الويب إلى إمكانية التصفح القسري (forceful browsing). يحدث هذا في الوحدة المستخدمة لاسترداد وإرسال نماذج الويب عبر REST.

Insufficient validation of a managed file upload element during the processing of new submissions allows a user with submission access to potentially access other managed files they are not authorized to view. This issue occurs when a site is configured with a Webform containing a managed file upload element and a configuration that exposes submitted files, such as allowing users to view their own submissions or sending uploads as email attachments. Approximately 436,400 instances are identified globally.

يفشل النموذج في تنقيح محتوى رسائل البريد الإلكتروني المسجلة بشكل كافٍ. وبناءً على ذلك، يتم تخزين رسائل البريد الإلكتروني المتعلقة بالحسابات مع الاحتفاظ بروابط تسجيل الدخول لمرة واحدة. يمكن للمهاجم الذي يمتلك صلاحية `View Drupal Symfony Mailer log entries` الوصول إلى هذه الروابط للدخول غير المصرح به إلى أي حساب، بما في ذلك الحساب الإداري (المستخدم 1). يحدث هذا لأن الصلاحية لم تكن محددة كصلاحية مقيدة في الإصدارات السابقة.

تسمح مشكلة نقص في التفويض في وحدة Image بالتصفح القسري، مما يؤدي إلى الكشف عن المعلومات. تفشل الوحدة في التحقق بشكل كافٍ من الوصول إلى مشتقات أنماط الصور عندما يتم تقديم الملفات عبر دفق ملفات بخلاف `private://`. تحدث هذه المشكلة عندما يتم تكوين دروبال لاستخدام نظام ملفات مساهم به لتقديم الصور المشتقة الخاصة.

تحتوي نواة دروبال على «سلسلة أدوات» (gadget chain)، وهي عبارة عن تسلسل من أجزاء الكود الموجودة التي يمكن استغلالها أثناء عملية إزالة التسلسل (deserialization) للبيانات غير الموثوق بها. على الرغم من أن هذه المشكلة لا يمكن استغلالها بشكل مباشر، إلا أنها يمكن أن تكون وسيلة لتنفيذ تعليمات برمجية عن بُعد أو حقن SQL إذا سمحت ثغرة أمنية منفصلة للمهاجم بتمرير مدخلات غير آمنة إلى دالة `unserialize()`.

يوجد عيب في نواة Drupal يتعلق باستخدام ذاكرة التخزين المؤقت لمتصفح الويب التي قد تحتوي على معلومات حساسة. ويحدث ذلك بسبب إعدادات مستويات أمان التحكم في الوصول بشكل غير صحيح.