Ra Mã¤Nd

يحدث ثغرة Cross-site Scripting (XSS) مخزنة لأن الوحدة لا تقوم بتطهير المحتوى الذي يوفره المستخدم بشكل كافٍ قبل حفظه في نظام الملفات العام. يسمح هذا لملف مصمم بشكل خبيث باحتواء محتوى نشط أو غير آمن يمكن تنفيذه في متصفح مستخدمين آخرين.

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى إمكانية حدوث نص برمجي عابر للمواقع (XSS) لأن القالب لا يقوم بتصفية بعض السمات بشكل كافٍ. تؤثر هذه المشكلة تحديداً على ميزات تلميحات الأدوات (tooltips) والنوافذ المنبثقة (popovers) الاختيارية.

يفشل Drupal Shield في تقييد عدد محاولات المصادقة بشكل كافٍ عندما يقوم زائر مجهول بإرسال بيانات اعتماد المصادقة الأساسية بشكل متكرر. يسمح هذا بهجمات القوة الغاشمة (Brute Force) ضد مطالبة المصادقة الأساسية لبروتوكول HTTP المستخدم لحماية المواقع غير العامة من العرض أو الزحف أو الفهرسة. يتم تقليل هذا الخطر في حال استخدام كلمات مرور طويلة ومولدة عشوائياً.

توجد مشكلة في وحدة Link الخاصة بـ Drupal core، والتي توفر نوع حقل لعناوين URL الداخلية والخارجية. تفشل الوحدة في تعقيم بعض العلامات (markup) بشكل كافٍ في ظروف معينة، مما يؤدي إلى ثغرات Cross-Site Scripting (XSS)، وهي حالة يتم فيها حقن نصوص برمجية خبيثة في المواقع الموثوقة.

يمكن للمهاجم الذي يمتلك أذونات كتابة مناسبة لـ JSON:API أن يقوم، في بعض الحالات النادرة، بحقن حمولة ضارة، مما يؤدي إلى حدوث «حقن كائنات PHP». يحدث «حقن كائنات PHP» عند استخدام مدخلات غير موثوق بها لإنشاء مثيلات للكائنات، مما قد يسمح للمهاجم بتنفيذ تعليمات برمجية عشوائية أو التلاعب بمنطق التطبيق. لا يمكن استغلال هذه الثغرة إلا إذا كان الموقع يستخدم نوع حقل مرجع الكيان الذي يخزن خاصية متسلسلة، وقام بتمكين حق الوصول للكتابة لـ JSON:API، والذي يكون للقراءة فقط بشكل افتراضي.

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المنعكس» (XSS) عندما تفشل الوحدة النمطية في تنقية رسائل استجابة واجهة برمجة التطبيقات (API) بشكل كافٍ قبل عرضها في مخرجات HTML. وعلى وجه التحديد، تقوم الدالتان ` cleantalk die()` و`ct die()` بإخراج رسالة استجابة واجهة برمجة التطبيقات (API) الخاصة بـ CleanTalk مباشرةً إلى HTML، مما يسمح بحقن كود HTML أو JavaScript تعسفي. ويتطلب استغلال هذه الثغرة أن يتمكن المهاجم من التأثير على استجابة واجهة برمجة التطبيقات (API) السحابية لـ CleanTalk، مثلًا من خلال هجوم «الرجل في الوسط» (man-in-the-middle) أو خادم واجهة برمجة التطبيقات (API) تم اختراقه.

لا يقوم تكامل jQuery في نواة دروبال (Drupal) الخاص بمربعات الحوار النوافذية AJAX بتنقية بعض الخيارات بشكل كافٍ، مما قد يؤدي إلى حدوث ثغرة البرمجة عبر المواقع (XSS)، وهي ثغرة يتم من خلالها إدخال نصوص برمجية ضارة إلى مواقع ويب موثوقة.

يسمح Drupal core بـ «حقن الكائنات» (Object Injection) بسبب التعديل غير المراقب بشكل صحيح لسمات الكائنات المحددة ديناميكيًا. تتضمن هذه المشكلة سلسلة أدوات — وهي تسلسل من أجزاء الكود الموجودة — يمكن استغلالها لتنفيذ كود عن بُعد أو حقن SQL إذا قام التطبيق بإلغاء تسلسل بيانات غير موثوق بها عبر دالة `unserialize()` بسبب ثغرة أمنية منفصلة. لا يمكن استغلال هذه المشكلة بشكل مباشر بمفردها.

توجد مشكلة في التخويل في وحدة Drupal Material Icons. تمت إضافة أذونات غير كافية إلى مسارات الحوار والإكمال التلقائي، مما قد يمنح وصولاً كاملاً إلى هذه المسارات في العديد من الحالات. وهذا يسمح بالتصفح القسري. تم تصميم الوحدة لإضافة أيقونات إلى CKEditor.

يوجد عيب في نواة Drupal يسمح بتزوير المحتوى من خلال عرض غير صحيح للمعلومات الحساسة في واجهة المستخدم. تؤثر هذه المشكلة على عرض المحتوى داخل التطبيق.

يحتوي نواة Drupal على تعديل غير خاضع للرقابة بشكل كافٍ لسمات كائنات محددة ديناميكيًا، مما يؤدي إلى حدوث حقن كائنات. وهذا يتيح إمكانية التلاعب بالكائنات داخل النظام.

يوجد فحص غير كافٍ للحالات غير المعتادة أو الاستثنائية في نواة Drupal، مما يسمح بالتنقل القسري. تؤثر هذه المشكلة على قدرة البرنامج على التعامل مع المدخلات أو المواقف غير المتوقعة، وقد تؤدي إلى وصول غير مصرح به أو إفشاء المعلومات.

يوجد ثغرة أمنية في Drupal Protected Pages تسمح بإجراء محاولات مصادقة مفرطة، مما قد يؤدي إلى هجمات القوة الغاشمة. تؤثر هذه المشكلة على الوحدة النمطية Protected Pages.