Ryan Szrama

يؤدي التحقق غير السليم من التوقيعات التشفيرية في الوحدة إلى إمكانية تزوير التوقيع (signature spoofing). تحدث هذه المشكلة عندما لا يتم تكوين سر التوقيع بشكل صحيح في إعدادات بوابة الدفع، مما يؤدي إلى عدم التحقق الكافي من توقيعات أحداث الـ webhook. الـ webhooks هي رسائل مؤتمتة يرسلها Stripe إلى التطبيق لإخطاره بالأحداث، مثل عمليات الدفع الناجحة.

تسمح ثغرة فقدان التفويض بالتصفح القسري وتجاوز التحكم في الوصول. ينبع هذا الخلل من الحماية غير الكافية للمسارات وحقول الكيانات، مما يسمح للمهاجمين غير المصرح لهم بتنفيذ إجراءات مميزة، وتعديل الطلبات، والوصول إلى بيانات دفع العملاء أو معلومات تحديد الهوية الشخصية (PII). يؤثر هذا الأمر على عربة التسوق، وعملية الدفع، ووظائف واجهة برمجة التطبيقات (API). ويُقدر أن أكثر من 42,000 عملية تثبيت قد تأثرت. هناك تأكيدات على وجود استغلال نشط لهذه الثغرة، بما في ذلك حالات طلبات احتيالية على مواقع حقيقية.

توجد ثغرة من نوع تزوير الطلبات عبر المواقع (CSRF) في الوحدة المستخدمة للتكامل مع واجهة برمجة تطبيقات Stripe Connect. عند إعادة التوجيه إلى Stripe Connect لإنشاء رمز تفويض، تفشل الوحدة في تضمين رمز CSRF في URI العودة. يتيح ذلك للمهاجم خداع المسؤول للنقر على رابط يتجاوز عملية الدفع، مما يؤدي إلى تحديد الطلبات على أنها مدفوعة دون معالجة الدفع الفعلي.

يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى إمكانية حدوث ثغرة نصية عابرة للمواقع (XSS). تحدث هذه المشكلة عند استخدام الوحدة لتكوين المتجر عبر واجهة برمجة تطبيقات Stripe Connect. يتطلب الاستغلال أن يمتلك المهاجم صلاحيات مسؤول لتكوين بوابات الدفع بالتزامن مع اختراق خدمة خارجية.

An observable timing discrepancy in the Secure Acceptance Hosted Checkout gateway integration allows for brute force attacks. The module fails to correctly verify the integrity of data returned by the payment provider, which could enable an attacker to use a timing attack to trick the site into registering a payment as received when it has not been.

An incorrect authorization issue allows forceful browsing. The module fails to sufficiently validate transaction results when using the Payflow Link payment gateway, which enables a malicious user to mark transactions as completed without providing payment.

The issue is related to a lack of authorization in the Drupal Entity Delete Log, which allows for forceful browsing. This can enable a remote attacker to bypass security restrictions and perform a forceful browsing attack.