Zeeshaan Khann

تسمح مشكلة في التصريح غير الصحيح بالتصفح القسري، حيث يمكن للمستخدمين الذين لا يملكون الأذونات المطلوبة الوصول إلى نموذج التحديث الجماعي المستخدم لتعيين أو إزالة الأدوار في حسابات مستخدمين متعددة. يتم التخفيف من هذه المشكلة بكون المهاجم يجب أن يمتلك دوراً لديه إذن "administer users".

تسمح ثغرة في التصريح غير الصحيح بالتصفح القسري (Forceful Browsing). يقوم النموذج بتقديم نماذج إضافة/تعديل الكيانات داخل مربع حوار AJAX لاستخدامه مع حقول مرجع الكيان، ولكنه يعتمد فقط على إذن "access administration pages" دون التحقق مما إذا كان المستخدم الحالي يملك صلاحية إنشاء أو تحديث الكيان نفسه. يتم التخفيف من هذه المشكلة من خلال حقيقة أن المهاجم يجب أن يمتلك دوراً لديه إذن "access administration pages".

تسمح ثغرة في التصريح غير الصحيح بالتصفح القسري (Forceful Browsing). يوفر النموذج إجراء "توليد روابط داخلية" لشريط أدوات AI CKEditor، مما يسمح للمحررين بالبحث عن محتوى ذي صلة في الموقع لربطه. لا تحترم استعلامات البحث صلاحيات الوصول إلى الكيان عند إرجاع النتائج إلى المتصفح. يتم التخفيف من هذه المشكلة من خلال اشتراط امتلاك المستخدم إذنًا لاستخدام ميزة "توليد روابط داخلية" في AI CKEditor على تنسيق نصي.

تسمح ثغرة فقدان التصريح بالتصفح القسري. يفشل الموديل في حماية نقطة النهاية '/css-usage-analyzer/save' بشكل كافٍ ضد عمليات الإرسال المزيفة أو المتكررة، مما قد يسمح لماسح الواجهة الأمامية بإرسال قياسات استخدام CSS غير مصرح بها إلى الموقع.