Pierre Rudloff

يؤدي عدم كفاية تنقية المدخلات ومعالجة المخرجات إلى السماح للمستخدمين الذين لديهم صلاحيات وصول بمستوى مساهم أو أعلى بحقن نصوص برمجية ويب تعسفية. يحدث هذا بسبب عدم معالجة قيم سمات الصور بشكل صحيح قبل معالجتها في المتصفح، مما يؤدي إلى ثغرة Cross-Site Scripting (XSS) مخزنة، حيث يتم تنفيذ النصوص البرمجية عندما يقوم مستخدم آخر بعرض أو معاينة المحتوى المتأثر.

تسمح مستويات أمان التحكم في الوصول التي تم تكوينها بشكل غير صحيح باستخدام ذاكرة التخزين المؤقت لمتصفح الويب التي تحتوي على معلومات حساسة. قد يتم تقديم الملفات باستخدام رأس HTTP `Cache-Control: public` في حين يجب أن تكون غير قابلة للتخزين المؤقت، مما قد يسمح للمستخدمين بالوصول إلى نسخ مخزنة مؤقتًا من ملفات تحتوي على معلومات لا يملكون تصريحًا لرؤيتها. يحدث هذا عندما يكون مستخدم يتمتع بصلاحيات أعلى قد طلب الملف مسبقًا ولا يزال الملف موجودًا في ذاكرة التخزين المؤقت.

توجد مشكلة أمنية في مشروع Drupal CacheFlush. تم تصنيف المشروع حاليًا على أنه غير مدعوم، ولا تزال المشكلة قائمة دون إصلاح من قبل المسؤول عن الصيانة.

يوفر هذا النموذج إطار عمل لدمج مزودي وميزات الذكاء الاصطناعي في Drupal. تحدث المشكلة لأن النموذج لا يقوم بتطهير بعض سمات HTMX بشكل كافٍ، مما يؤدي إلى ثغرة Cross-Site Scripting (XSS)، حيث يمكن حقن نصوص برمجية خبيثة في صفحات الويب.

توجد ثغرة لتجاوز المصادقة حيث يفشل النموذج في إبطال جلسة CAPTCHA التي تم حلها بشكل كامل. يسمح هذا بإرسال نموذج محمي تم إرساله مرة واحدة بالفعل مرة أخرى دون الحاجة إلى حل تحدٍ جديد. يضعف هذا الخلل الحماية ضد عمليات الإرسال الآلية، بما في ذلك هجمات القوة الغاشمة لتسجيل الدخول، والرسائل المزعجة في التعليقات، وتسجيلات الحسابات الوهمية.

يؤدي عدم كفاية تنقية المدخلات ومعالجة المخرجات إلى السماح للمستخدمين المصرح لهم والذين يمتلكون دور مؤلف أو أعلى بتنفيذ هجمات Stored Cross-Site Scripting. يحدث هذا لأن المكون الإضافي يفشل في منع عناصر الرسوم المتحركة في ملفات SVG المرفوعة من تغيير هدف الرابط إلى URI من نوع `javascript:`، مما يتجاوز عملية التنقية. يتم تنفيذ النصوص البرمجية الويب التعسفية المحقونة في المتصفحات القائمة على WebKit، مثل Safari، عندما يقوم المستخدم بالوصول إلى الصفحة المتأثرة.

تسمح ثغرة فقدان التصريح بالتصفح القسري (Forceful Browsing). يفشل النموذج في التحقق بشكل كافٍ من الوصول إلى مشتقات نمط الصورة عندما يتم تقديم هذه الملفات عبر تدفق ملفات غير `private://`. يتم التخفيف من هذه المشكلة إذا تم تكوين Drupal لاستخدام مخطط ملفات مساهم لتقديم الصور المشتقة الخاصة.

تسمح مستويات التحكم في الوصول التي تم تكوينها بشكل غير صحيح باستخدام ذاكرة التخزين المؤقت لمتصفح الويب التي تحتوي على معلومات حساسة. يقوم الموديل بتقديم استجابات مشتقات صور WebP باستخدام ترويسة HTTP `Cache-Control: public` لجميع مخططات الملفات باستثناء نظام الملفات الخاص، بما في ذلك أنظمة الملفات المؤقتة والمخططات المخصصة التي تخضع للتحكم في الوصول. يمكن أن يؤدي هذا السلوك إلى حصول بعض المستخدمين على نسخ مخزنة مؤقتًا من ملفات تحتوي على معلومات لا ينبغي لهم الوصول إليها، خاصة عند استخدام ذاكرة تخزين مؤقت مشتركة مثل Varnish أو CDN تحترم ترويسة `Cache-Control`. يتطلب الاستغلال أن يقوم الموقع بتقديم مشتقات الصور من مخطط ملفات مخصص أو مؤقت مع وجود تحكم في الوصول خلف ذاكرة تخزين مؤقت من هذا النوع، كما يجب أن يعرف المهاجم مسار ملف تم طلبه سابقًا ولا يزال موجودًا في ذاكرة التخزين المؤقت.

يفشل Drupal Shield في تقييد عدد محاولات المصادقة بشكل كافٍ عندما يقوم زائر مجهول بإرسال بيانات اعتماد المصادقة الأساسية بشكل متكرر. يسمح هذا بهجمات القوة الغاشمة (Brute Force) ضد مطالبة المصادقة الأساسية لبروتوكول HTTP المستخدم لحماية المواقع غير العامة من العرض أو الزحف أو الفهرسة. يتم تقليل هذا الخطر في حال استخدام كلمات مرور طويلة ومولدة عشوائياً.

توجد مشكلة في التصريح غير الصحيح في وحدة Dopup، المسؤولة عن إدارة نماذج الويب (Webforms)، مما يسمح بالتصفح القسري. لا تقوم الوحدة بإجراء فحص كافٍ للوصول إلى الكيان في بعض الحالات، مما قد يؤدي إلى كشف عناوين نماذج الويب الخاصة.

تسمح مستويات التحكم في الوصول التي تم تكوينها بشكل غير صحيح باستخدام ذاكرة التخزين المؤقت لمتصفح الويب التي تحتوي على معلومات حساسة. يتيح النموذج عرض الملفات مباشرة عبر أسماء مستعارة لعناوين URL، ولكن قد يتم تقديم بعض الملفات باستخدام رأس HTTP `Cache-Control: public` في حين يجب أن تكون غير قابلة للتخزين المؤقت. يؤدي هذا إلى تمكين المستخدمين من الوصول إلى نسخ مخزنة مؤقتًا من ملفات تحتوي على معلومات لا ينبغي لهم الوصول إليها. يتطلب الاستغلال أن يقوم المهاجم بطلب ملف تم طلبه سابقًا من قبل مستخدم يتمتع بصلاحيات أعلى، وأن يكون هذا الملف لا يزال مخزنًا مؤقتًا.

تسمح ثغرة في التصريح غير الصحيح بالتصفح القسري. يفشل النموذج في التحقق بشكل كافٍ من تفويض الأدوار أثناء عملية الموافقة على المستخدمين، ويوفر رابط تفعيل للمسؤولين المحظورين. بالإضافة إلى ذلك، فإنه لا يمنع إلغاء تنشيط أو حذف المستخدم رقم 1. يتطلب الاستغلال أن يمتلك المهاجم دوراً يحتوي على إحدى أذونات الإجراءات الإضافية للنموذج.

توجد مشكلة انعكاس غير آمن (Unsafe Reflection) حيث يمكن استخدام مدخلات يتم التحكم فيها خارجيًا لاختيار فئات أو أكواد، مما يؤدي إلى حقن الانعكاس (Reflection Injection). تسمح هذه الثغرة بتنفيذ رموز عن بُعد. وعلى الرغم من أن المشكلة لا يمكن استغلالها مباشرة باستخدام الوحدة وحدها، إلا أن هناك مسارات استغلال خطيرة متعددة عند دمجها مع وحدات مساهمة أخرى، بما في ذلك مسار واحد على الأقل لا يتطلب مصادقة. قد تؤدي الأكواد المخصصة أيضًا إلى تعريض هذه الوظيفة للخطر.

توجد مشكلة حيث لا يقوم موديل Navigation بتطهير بعض السمات بشكل كافٍ، مما يؤدي إلى حدوث Cross-Site Scripting (XSS)، وهي حالة يتم فيها حقن برمجيات خبيثة في مواقع ويب موثوقة. يتطلب الاستغلال أن يمتلك المهاجم دوراً لديه صلاحية إدخال وسوم HTML تحتوي على سمات بيانات محددة، أو صلاحية `administer menu`.

توجد ثغرة تنفيذ عن بُعد للكود في وحدة Field UI (`field ui`) ضمن Drupal core. على الرغم من أن هذه الثغرة لا يمكن استغلالها مباشرة باستخدام وظائف core وحدها، إلا أن هناك مسارات استغلال خطيرة متعددة متاحة من خلال استخدام وحدات مساهمة أو كود مخصص. يسمح أحد مسارات الاستغلال المعروفة على الأقل بتنفيذ كود عن بُعد دون الحاجة إلى مصادقة. هناك حوالي 151,000 موقع متأثر محتمل بسبب استخدام إصدارات قديمة من نظام إدارة المحتوى. يمكن استخدام هذه الثغرة لتحقيق تحرك جانبي من خوادم الويب المخترقة إلى البنية التحتية الداخلية.

يسمح التحقق غير السليم من الظروف غير العادية أو الاستثنائية بالتصفح القسري. تحدث هذه المشكلة عندما يكون النموذج في وضع الإذن ويتم الوصول إلى عقدة تشير إلى مصطلح تصنيف محذوف عبر JSON:API. يتطلب استغلال ذلك تكويناً محدداً للنموذج ووجود إشارات إلى مصطلح محذوف.

The Webform module fails to sufficiently sanitize attributes used by its color element. This can lead to cross-site scripting (XSS), a technique where malicious scripts are injected into trusted websites, when the element is rendered. Exploitation requires the attacker to add a specially crafted link with a specific class to the same page as the affected webform. Approximately 436,400 instances of Drupal were identified globally as potential targets.

An issue exists in the Webform module, which is used to create forms and collect submissions. Due to improper sanitization of announcement text used for assistive technologies, specially crafted input can lead to cross-site scripting. Approximately 436,400 instances of Drupal were identified globally as potentially exposed. Remote code execution is also possible.

The Webform module contains a rating element that does not sufficiently validate data. This flaw could allow cross-site scripting (XSS), a technique where malicious scripts are injected into trusted websites, on pages containing a rating element. Exploitation requires the attacker to be able to place crafted HTML markup on the same page as the rating element. Approximately 436,300 instances of Drupal were identified globally as potentially exposed.

The Webform module fails to sufficiently sanitize text counter configuration before passing options to the bundled jQuery Text Counter library. This flaw allows markup from counter-related settings to be inserted into the page, resulting in cross-site scripting (XSS), a technique where malicious scripts are injected into trusted websites. Exploitation requires the attacker to have permissions to create or edit affected Webform elements or to place crafted counter markup on a page where the Webform counter JavaScript is active. Approximately 436,300 instances of Drupal were identified globally as potentially exposed.