Valery Lourie

يوفر هذا النموذج إطار عمل لدمج مزودي وميزات الذكاء الاصطناعي في Drupal. تحدث المشكلة لأن النموذج لا يقوم بتطهير بعض سمات HTMX بشكل كافٍ، مما يؤدي إلى ثغرة Cross-Site Scripting (XSS)، حيث يمكن حقن نصوص برمجية خبيثة في صفحات الويب.

يحدث ثغرة Cross-site Scripting (XSS) مخزنة لأن الوحدة لا تقوم بتطهير النتائج المهيكلة بشكل كافٍ عند استخدام إعدادات الوكيل القديمة. تتطلب هذه المشكلة أن يتمكن المهاجم من تنفيذ حقن للأوامر (prompt injection) عبر المحتوى التحريري في المواقع التي تم إعدادها باستخدام فروع AI 1.0.x و AI Agents 1.0.x بتكوين غير شائع.

يوجد خلل في التفويض في وحدة AI Translate الفرعية يسمح بالتصفح القسري (Forceful Browsing). يفشل النموذج في التحقق بشكل كافٍ من صلاحيات الوصول إلى الكيانات المراد ترجمتها، أو الحقول ذات الصلة، أو الكيانات المرجعية عند إجراء ترجمة بواسطة الذكاء الاصطناعي، خاصة عندما يكون لهذه المكونات مستويات وصول مختلفة عن الكيان الأساسي. يقتصر هذا التجاوز في الصلاحيات على عملية الترجمة فقط، ولا يمنح صلاحيات قراءة أو تحديث غير مصرح بها للكيانات المتأثرة.

يسمح خلل في التفويض بالتصفح القسري (forceful browsing) ضمن الوحدة المستخدمة للترجمة التلقائية للكيانات. يفشل النظام في التحقق بشكل كافٍ من صلاحيات الوصول إلى الكيان المراد ترجمته، أو الحقول ذات الصلة، أو الكيانات المرجعية عند إجراء ترجمة بواسطة الذكاء الاصطناعي، خاصة عندما يكون لهذه المكونات مستويات وصول مختلفة عن الكيان الأساسي. يقتصر هذا التجاوز في الصلاحيات على عملية الترجمة فقط، ولا يمنح صلاحيات قراءة أو تحديث غير مصرح بها للكيانات المتأثرة.

تسمح مشكلة في عملية المصادقة بالتصفح القسري. تفتقر بعض الإجراءات الأساسية في Drupal، التي يتم عرضها كأدوات للوكلاء، إلى التحقق الصحيح من صحة الوصول، كما تفتقر بعض الإجراءات الأساسية إلى تعريفات مستوى الوصول المرتبطة بها. وهذا يسمح للوكيل باستخدام أدوات الإجراءات الأساسية في Drupal عن طريق تجاوز ضوابط الوصول، شريطة أن يتمكن المهاجم من التواصل مع الوكيل المتأثر وأن يكون الموقع مهيئًا لعرض هذه الأدوات للمستخدمين غير المتمتعين بامتيازات.

توجد مشكلة في عملية المصادقة في Drupal AI (الذكاء الاصطناعي) تسمح بحقن الموارد. تسمح الوحدة النمطية وبعض الوحدات الفرعية (AI Automators، AI Translate، AI API Explorer، AI Content Suggestions) باستخدام نموذج لغوي كبير (LLM) لإنشاء HTML أو Markdown، ومعاينته في المتصفح. في ظل ظروف معينة، قد يؤدي عرض هذا HTML إلى الكشف عن اتصالات سرية متعلقة بطلب LLM.