Neil Drumm

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري عند استخدام Drupal Commerce مع وحدة JSON:API. يتيح ذلك للمستخدمين الذين لا يملكون الأذونات المناسبة الوصول إلى تنويعات المنتجات غير المنشورة. تؤثر هذه المشكلة تحديداً على المواقع التي تحتوي على منتجات منشورة وتنويعات منتجات غير منشورة.

تسمح مستويات أمان التحكم في الوصول التي تم تكوينها بشكل غير صحيح بتخزين أذونات الرمز (token) في ذاكرة التخزين المؤقت بطريقة تسمح بإعادة استخدامها لرمز مستخدم آخر لديه نفس النطاقات (scopes). يمكن أن يؤدي ذلك إلى اكتساب المستخدم لأذونات غير مصرح بها، بما في ذلك وصول المسؤول. يتطلب الاستغلال استخدام رمز مستخدم أكثر امتيازاً بنفس النطاقات أولاً.

توجد مشكلة في وحدة Link الخاصة بـ Drupal core، والتي توفر نوع حقل لعناوين URL الداخلية والخارجية. تفشل الوحدة في تعقيم بعض العلامات (markup) بشكل كافٍ في ظروف معينة، مما يؤدي إلى ثغرات Cross-Site Scripting (XSS)، وهي حالة يتم فيها حقن نصوص برمجية خبيثة في المواقع الموثوقة.

Insufficient sanitization of tooltips and help text within the Webform module allows for cross-site scripting (XSS), a technique where malicious scripts are injected into trusted websites. Exploitation requires the attacker to possess permissions to create or edit the affected Webform configuration or content. Approximately 436,300 instances of Drupal were identified globally as potentially exposed.

The Webform module contains a rating element that does not sufficiently validate data. This flaw could allow cross-site scripting (XSS), a technique where malicious scripts are injected into trusted websites, on pages containing a rating element. Exploitation requires the attacker to be able to place crafted HTML markup on the same page as the rating element. Approximately 436,300 instances of Drupal were identified globally as potentially exposed.

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري. يسمح هذا النموذج، الذي يدير الأذونات لكل نوع محتوى عقدة للتحكم في الوصول إلى المحتوى غير المنشور، بالوصول إلى عرض المحتوى المنشور بشكل غير صحيح، مما يتجاوز آليات الوصول الأخرى التي قد تكون قائمة.

تسمح ثغرة فقدان التصريح بالتصفح القسري (Forceful Browsing). يفشل الموديل في التحقق بشكل كافٍ من صلاحية الوصول إلى الكتلة (block access) عند إرسال معرفات كتل عشوائية إلى نقطة نهاية AJAX المتاحة للعموم. قد يسمح هذا لمهاجم غير مصرح له باسترداد محتوى كتل مقيد، بشرط أن يتمكن من معرفة أو تخمين معرف الآلة الخاص بكتلة تحتوي على محتوى حساس محمي بقيود الرؤية.

An observable timing discrepancy in the Secure Acceptance Hosted Checkout gateway integration allows for brute force attacks. The module fails to correctly verify the integrity of data returned by the payment provider, which could enable an attacker to use a timing attack to trick the site into registering a payment as received when it has not been.

Improper neutralization of input during web page generation in the Slick UI sub-module allows for Stored Cross-site Scripting (XSS). The issue occurs because the module does not sufficiently validate user input within Slick option sets that contain HTML for carousel buttons.

An incorrect authorization issue allows forceful browsing. The module fails to sufficiently validate transaction results when using the Payflow Link payment gateway, which enables a malicious user to mark transactions as completed without providing payment.

An incorrect authorization issue allows forceful browsing. The module fails to correctly enforce access when rendering node and block tabs by treating neutral access results as grants for node tabs and block plugins. Additionally, no access check is performed for reusable custom blocks. This allows users without proper permissions to view restricted content, such as unpublished nodes or unpublished reusable custom blocks. The risk is limited because the content exposed is pre-selected by a user with the `administer quicktabs` permission during configuration.

Improper handling of case sensitivity allows privilege escalation. The module fails to ensure exact matching of externally supplied identity values when storing and looking up authentication mappings under specific database collation configurations. This issue primarily affects sites using certain MySQL or MariaDB collation settings for the authentication mapping storage.

Insufficient validation of certain inputs allows an attacker to perform Server-Side Request Forgery (SSRF), a technique where the server is coerced into making unauthorized requests to internal or external resources.

تسمح مشكلة في عملية التفويض غير الصحيحة بالتصفح القسري عند تحرير الكيانات. تفشل الوحدة النمطية في التحقق بشكل كافٍ من حقوق الوصول، مما يمكّن المستخدم الضار من صياغة طلبات لتعديل أي حقل في أي كيان. يتم التخفيف من هذه المشكلة إذا كان المهاجم يفتقر إلى دور «إذن تحرير الحقول في المكان نفسه».

توجد ثغرة أمنية في مشروع «Disable Login Page». وقد تم تصنيف المشروع حاليًا على أنه غير مدعوم، ولم يقدم المسؤول عن صيانته أي حل لهذه المشكلة.

تسمح مشكلة تتعلق بنقص في إجراءات التفويض بالتصفح القسري عند عرض الصور باستخدام مُنسق عرض معرض الصور PhotoSwipe. تفشل الوحدة النمطية في التحقق بشكل كافٍ من أذونات الوصول، مما قد يسمح للمستخدمين غير المصرح لهم بعرض الصور التي ينبغي تقييد الوصول إليها.

توجد مشكلة تتمثل في أن الوحدة النمطية لا تقوم بتنقية علامات الترميز التي يتم تمريرها إلى المكونات بشكل كافٍ في سيناريوهات معينة، مما يؤدي إلى حدوث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (XSS). البرمجة النصية عبر المواقع (XSS) هي ثغرة تسمح للمهاجم بإدخال نصوص برمجية ضارة في صفحات الويب التي يشاهدها مستخدمون آخرون. ويتطلب استغلال هذه الثغرة أن يكون لدى المهاجم أذونات لإنشاء أو تحديث المحتوى الذي تعرضه UI Patterns.

يؤدي التعديل غير الخاضع للرقابة بشكل صحيح لسمات الكائنات المحددة ديناميكيًا إلى السماح بحقن الكائنات. بالإضافة إلى ذلك، تفشل الوحدة الفرعية Render في تنقية كود القوالب بشكل كافٍ عند عرض قوالب Twig المضمنة كجزء من نماذج بدون كود، مما قد يؤدي إلى كشف المعلومات. يتم التخفيف من هذه المشكلة إذا كان الموقع لا يعمل بنموذج ECA يستخدم الإجراء ”Render: Twig“ في تدفق البيانات.

تسمح مشكلة تتعلق بنقص في التفويض بالتصفح القسري. فالوحدة النمطية، التي تتيح اختبار وتشغيل سير العمل المدعوم بالذكاء الاصطناعي عبر واجهة دردشة، لا تفرض الأذونات بشكل كافٍ على نقاط نهاية معينة. قد يسمح ذلك للمهاجمين بتشغيل سير العمل، مما يؤدي إلى تكاليف نموذج اللغة الكبير (LLM) وآثار جانبية للأداة، أو يمكّنهم من إرسال رسائل إلى جلسات تخص مستخدمين آخرين. يتم التخفيف من هذه المشكلة إذا لم يكن المهاجم يمتلك إذن «عرض أي جلسة»، والذي لا يُمنح للمستخدمين المجهولين أو المصادق عليهم بشكل افتراضي.

تسمح مشكلة تتعلق بنقص في التفويض بالتصفح القسري. فالوحدة النمطية، التي تتيح اختبار وتشغيل سير العمل المدعوم بالذكاء الاصطناعي عبر واجهة الدردشة، لا تعيد تقييم بوابات الموافقة التي تتطلب تدخلًا بشريًّا بشكل كافٍ خلال تكرارات سير العمل التي تحدث أكثر من مرة. وقد يؤدي ذلك إلى تنفيذ سير عمل لم يقصده المستخدم. ويتطلب استغلال هذه الثغرة أن يمتلك المهاجم دور «إدارة سير عمل FlowDrop» أو أذونات مكافئة مثل «إنشاء سير عمل FlowDrop» أو «تعديل سير عمل FlowDrop».