Sascha Grossenbacher

An incorrect authorization issue in the Entity API allows forceful browsing. The module fails to correctly apply access controls for JSON:API entity collection endpoints, leading to an information disclosure. This issue occurs when the JSON:API module is enabled alongside the Entity API module.

Stored cross-site scripting (XSS) occurs because the module does not sufficiently sanitize tab titles. This allows an attacker to insert HTML with specific attributes on a page displaying an entity browser. Cross-site scripting is a flaw where malicious scripts are injected into trusted websites.

تسمح مشكلة في التخويل في وحدة Paragraphs Library بالتصفح القسري. لا تقيد الوحدة الوصول إلى عناصر المكتبة غير المنشورة داخل القوائم بشكل كافٍ. يحدث هذا عندما تكون وحدة `paragraphs library` نشطة ويتمكن المهاجم من الوصول إلى قائمة عناصر المكتبة، مثل طريقة عرض أو حقل يقدم اقتراحات الإكمال التلقائي.

تسمح مشكلة تتعلق بنقص في التفويض في وحدة Paragraphs Library بالتصفح القسري. تفشل الوحدة في تقييد الوصول بشكل كافٍ إلى الفقرات الفرعية المباشرة لعناصر المكتبة عبر نقاط نهاية واجهة برمجة التطبيقات (API). يتم التخفيف من هذه المشكلة إذا لم تكن وحدة `paragraphs library` قيد الاستخدام أو إذا تم تقييد حق الوصول العام للكتابة إلى الفقرات عبر وحدات أخرى.

يمكن للمهاجم الذي يمتلك أذونات كتابة مناسبة لـ JSON:API أن يقوم، في بعض الحالات النادرة، بحقن حمولة ضارة، مما يؤدي إلى حدوث «حقن كائنات PHP». يحدث «حقن كائنات PHP» عند استخدام مدخلات غير موثوق بها لإنشاء مثيلات للكائنات، مما قد يسمح للمهاجم بتنفيذ تعليمات برمجية عشوائية أو التلاعب بمنطق التطبيق. لا يمكن استغلال هذه الثغرة إلا إذا كان الموقع يستخدم نوع حقل مرجع الكيان الذي يخزن خاصية متسلسلة، وقام بتمكين حق الوصول للكتابة لـ JSON:API، والذي يكون للقراءة فقط بشكل افتراضي.

توجد ثغرة أمنية من نوع «تزوير الطلبات بين المواقع» (CSRF) في Drupal Currency. تتيح هذه الثغرة للمهاجمين تنفيذ إجراءات نيابة عن المستخدمين المسجلين دون علمهم. تحدث ثغرة CSRF عندما يقوم موقع ويب ضار أو رسالة بريد إلكتروني أو أي وسيلة اتصال أخرى بحث متصفح المستخدم على إرسال طلب إلى تطبيق ويب معرض للخطر.

تتعلق المشكلة بعدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحات الويب، مما يتيح هجمات البرمجة النصية عبر المواقع (XSS). وقد يتيح ذلك لمهاجم عن بُعد التحايل على قيود الأمان وتنفيذ هجمات البرمجة النصية عبر المواقع.

The issue allows attackers to manipulate the generated sorting queries due to an unspecified vulnerability in the fetch function in MDB2.php.