PT-2026-120924
CVE-2026-114571
·
تاريخ النشر
2026-10-21
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
Drupal Rabbit Hole الإصدارات من 0.0.0 إلى 1.3.0
Description
يسمح خطأ في التفويض بالتصفح القسري. يتيح النموذج لمسؤولي الموقع التحكم في كيفية عرض صفحات الكيانات، سواء بعرض الصفحة، أو إرجاع استجابة "تم رفض الوصول" أو "غير موجود»، أو إعادة توجيه الزائر. تسمح إحدى الثغرات للزوار المجهولين بتجاوز هذه السلوكيات باستخدام معامل استعلام محدد، مما قد يؤدي إلى عرض محتوى تم تكوينه ليكون مخفيًا أو تجنب إعادة التوجيه. بالإضافة إلى ذلك، يتم تخزين إعدادات كل كيان في حقول تفتقر إلى التحكم المناسب في الوصول؛ فبينما يتحقق النموذج من الأذونات لعرض الإعدادات في نموذج التحرير، تتبع الحقول نفسها وصول Drupal الافتراضي. يتيح ذلك للمستخدمين الذين لديهم صلاحية تحرير الكيانات تعديل هذه الإعدادات إذا كان هناك مسار كتابة يتجاوز نموذج الكيان، مثل REST، أو JSON:API مع تفعيل الكتابة، أو Views Bulk Operations.
Recommendations
تحديث Drupal Rabbit Hole إلى إصدار أحدث من 1.3.0.
تقييد صلاحيات الكتابة في JSON:API أو REST أو Views Bulk Operations للمستخدمين الذين لا ينبغي لهم تعديل إعدادات الكيانات.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾