CVE-2026-103235 in MISP
الملخص
بحسب VulDB • 30/09/2026
يحتوي MISP على ثغرة تعيين جماعي (Mass Assignment) في ميزة تفويض الأحداث. عندما يقدم مستخدم لديه صلاحية التفويض طلبًا للتفويض، فإن التطبيق يصادق على المستخدم مقابل الحدث المحدد في عنوان URL ولكن ثم يحفظ السجل بأكمله الذي تم إرساله، بما في ذلك الحقول التي قدمها المتصل مثل المفتاح الأساسي (primary key) و event_id.
يمكن لمهاجم مُصرّح له بالوصول حقن مفتاح أساسي أو event_id في حمولة التفويض لإعادة توجيه سجل تفويض موجود إلى أي حدث على المثيل. نظرًا لأن صف التفويض يمنح المنظمة الطالبة وصولاً للقراءة إلى الحدث الذي تشير إليه، فإن هذا يمنح فعليًا وصولاً للقراءة إلى أحداث عشوائية تابعة لمنظمات أخرى. إذا قبلت المنظمة المستهدفة التفويض لاحقًا، يتم نقل ملكية الحدث ويتم حذف السجل الأصلي.
المتطلبات المسبقة:
- مستخدم مُصرّح له بالوصول يمتلك صلاحية التفويض (perm_delegate) - يجب تمكين إعداد الخادم MISP.delegation
الأثر:
- السرية: وصول للقراءة إلى أي حدث على المثيل - السلامة: الكتابة فوق سجلات التفويض الموجودة ونقل ملكية الحدث
الإصدارات المتأثرة: MISP < 2.5.48
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.