CVE-2026-103239 in MISP
الملخص
بحسب VulDB • 30/09/2026
يحتوي MISP على ثغرة تصعيد امتياز في وظيفة إنشاء وتحرير مجموعات العلامات (tag collection). تقبل الإجراءات المتأثرة حمولة طلب HTTP الكاملة وتنقلها إلى عملية حفظ ارتباط جماعي، والتي لا تكتب فقط سجل مجموعة العلامة المقصودة، بل أيضاً أي بيانات نماذج مرتبطة موجودة في الحمولة.
يمكن لمستخدم يمتلك صلاحية محرر العلامات صياغة طلب يتضمن بيانات نموذج إضافية (مثل سجلات المستخدم أو المنظمة) جنباً إلى جنب مع حقول مجموعة العلامات. ونظراً لأن عملية الحفظ تعالج جميع النماذج المرتبطة دون تمييز، فإن السجلات الشقيقة المُحقنة تُكتب في قاعدة البيانات، مما يمكّن المهاجم من تعديل أو إنشاء حسابات ذات امتيازات عالية وتصعيد الصلاحيات إلى مدير الموقع.
المتطلبات المسبقة: - حساب مُصادق عليه يمتلك صلاحية محرر العلامات (perm_tag_editor) - وصول شبكي إلى مثيل MISP
الأثر: - إنشاء أو تعديل غير مصرح به لسجلات المستخدم والمنظمة - تصعيد الامتياز من محرر العلامات إلى مدير الموقع
الإصدارات المتأثرة: < 2.5.48
If you want to get best quality of vulnerability data, you may have to visit VulDB.