Sven Decabooter

يفشل النموذج في التحقق بشكل كافٍ من أسماء أنماط الصور أثناء إنشاء مشتقات الصور. يسمح هذا للمستخدمين المجهولين بإنشاء مشتقات الصور بدون رمز مميز (token) صالح، مما قد يؤدي إلى تخصيص مفرط للموارد وتعطيل الخدمة. تظهر هذه المشكلة بغض النظر عما إذا كانت أنماط الصور المدمجة مهيأة أو مستخدمة. يقتصر هذا الأمر على الملفات العامة، حيث تظل مشتقات الملفات الخاصة محمية بواسطة فحص الرمز المميز الأساسي.

يفشل النموذج في تنقيح محتوى رسائل البريد الإلكتروني المسجلة بشكل كافٍ. وبناءً على ذلك، يتم تخزين رسائل البريد الإلكتروني المتعلقة بالحسابات مع الاحتفاظ بروابط تسجيل الدخول لمرة واحدة. يمكن للمهاجم الذي يمتلك صلاحية `View Drupal Symfony Mailer log entries` الوصول إلى هذه الروابط للدخول غير المصرح به إلى أي حساب، بما في ذلك الحساب الإداري (المستخدم 1). يحدث هذا لأن الصلاحية لم تكن محددة كصلاحية مقيدة في الإصدارات السابقة.

يوجد خلل في التفويض في وحدة AI Translate الفرعية يسمح بالتصفح القسري (Forceful Browsing). يفشل النموذج في التحقق بشكل كافٍ من صلاحيات الوصول إلى الكيانات المراد ترجمتها، أو الحقول ذات الصلة، أو الكيانات المرجعية عند إجراء ترجمة بواسطة الذكاء الاصطناعي، خاصة عندما يكون لهذه المكونات مستويات وصول مختلفة عن الكيان الأساسي. يقتصر هذا التجاوز في الصلاحيات على عملية الترجمة فقط، ولا يمنح صلاحيات قراءة أو تحديث غير مصرح بها للكيانات المتأثرة.

يسمح خلل في التفويض بالتصفح القسري (forceful browsing) ضمن الوحدة المستخدمة للترجمة التلقائية للكيانات. يفشل النظام في التحقق بشكل كافٍ من صلاحيات الوصول إلى الكيان المراد ترجمته، أو الحقول ذات الصلة، أو الكيانات المرجعية عند إجراء ترجمة بواسطة الذكاء الاصطناعي، خاصة عندما يكون لهذه المكونات مستويات وصول مختلفة عن الكيان الأساسي. يقتصر هذا التجاوز في الصلاحيات على عملية الترجمة فقط، ولا يمنح صلاحيات قراءة أو تحديث غير مصرح بها للكيانات المتأثرة.

Improper handling of case sensitivity allows privilege escalation. The module fails to ensure exact matching of externally supplied identity values when storing and looking up authentication mappings under specific database collation configurations. This issue primarily affects sites using certain MySQL or MariaDB collation settings for the authentication mapping storage.

يوجد فحص غير كافٍ للحالات غير المعتادة أو الاستثنائية في نواة Drupal، مما يسمح بالتنقل القسري. تؤثر هذه المشكلة على قدرة البرنامج على التعامل مع المدخلات أو المواقف غير المتوقعة، وقد تؤدي إلى وصول غير مصرح به أو إفشاء المعلومات.

تؤثر هذه المشكلة على Drupal core، مما يسمح بـ Cross-Site Scripting (XSS) بسبب عدم معالجة المدخلات بشكل مناسب أثناء إنشاء صفحات الويب.