Solideogloria

توجد مشكلة في التصريح غير الصحيح حيث يفشل النموذج في تقييد مجموعة فرعية من المسارات الديناميكية بشكل موثوق، وهي المسارات التي تتغير بناءً على معاملات أو شروط معينة. يؤدي هذا إلى تجاوز صلاحيات الوصول مما يسمح بالتصفح القسري.

تسمح مستويات أمان التحكم في الوصول التي تم تكوينها بشكل غير صحيح باستخدام ذاكرة التخزين المؤقت لمتصفح الويب التي تحتوي على معلومات حساسة. يفشل النموذج في تخزين البيانات مؤقتًا على أساس كل مستخدم، مما قد يسمح للمهاجم الذي يمتلك نفس الصلاحيات بعرض مفاتيح المصادقة الخاصة بمستخدم آخر. تتطلب هذه المشكلة تفعيل نموذج `dynamic page cache` لكي يتم استغلالها.

تؤدي قيود الوصول غير الكافية في نموذج الحذف إلى إمكانية التصفح القسري (forceful browsing)، وهو ما يحدث عندما يصل المستخدم إلى صفحة أو مورد دون تفويض مناسب. تسمح هذه المشكلة للمستخدمين غير المصرح لهم بحذف عمليات إرسال نماذج الويب بكميات كبيرة باستخدام نطاق تاريخ محدد.

The issue is related to an Incorrect Authorization vulnerability in Drupal REST & JSON API Authentication, allowing Forceful Browsing. This can enable a remote attacker to bypass existing security restrictions.