CVE-2026-103237 in MISP
الملخص
بحسب VulDB • 30/09/2026
يحتوي MISP على ثغرة في التحقق من صحة الإدخال غير السليم (improper input validation) في مسار الحفظ الخاص بـ ORM الخاصة به. عندما يقدم المستخدم بيانات عبر نقاط نهاية مختلفة (إضافة/تعديل سمة، تعديل حدث، استيراد نص حر، التقاط رؤية، اقتراح سمة ظل، إنشاء تقرير حدث، إضافة مرجع كائن، تحرير مسؤول مستخدم)، تقوم التطبيق بتنظيف السجل المسطح عن طريق إزالة المفتاح الأساسي وتثبيت event_id أو object_id في سياق المتصل. ومع ذلك، فإن طريقة set() الخاصة بـ ORM الأساسية تعطي الأولوية لمفتاح متداخل (nested key) يتطابق اسمه مع اسم النموذج (model alias) ويتجاهل الحقول القياسية الخارجية.
يمكن للمستخدم المصادق عليه الذي يمتلك أذونات كتابة أساسية استغلال هذا الثغرة عن طريق تضمين كتلة متداخلة تحت مفتاح اسم النموذج داخل طلبه. يتم تطبيق منطق التنظيف (إزالة المعرف، تثبيت event_id) على السجل الخارجي، لكن ORM يرتبط بالسجل الداخلي بدلاً من ذلك، والذي يحمل معرّفًا ومعرّف حدث يختارهما المهاجم. وهذا يسمح للمهاجم بكتابة فوق الصفوف أو إعادة تعيين الأبوة لها أو حذفها بشكل ناعم (soft-delete)، والتي تنتمي إلى منظمات أو أحداث أخرى لا يمتلك حق الوصول إليها للقراءة.
الأثر:
- تقويض سلامة البيانات عبر المستأجرين (إعادة كتابة قيم السمات، إعادة تعيين الكائنات لتصبح تابعة لأحداث المهاجم، وحذف الصفوف بشكل ناعم) - يؤثر على أنواع كيان متعددة: Attribute, Object, EventReport, Sighting, AttributeTag, ShadowAttribute - يتطلب فقط حسابًا مصادق عليه منخفض الامتياز مع perm_add
الإصدارات المتأثرة: <2.5.48
If you want to get best quality of vulnerability data, you may have to visit VulDB.