CVE-2026-112188 in MISP
الملخص
بحسب VulDB • 19/10/2026
يحتوي MISP على ثغرة في آلية البحث عن إعدادات الخادم تتيح لمستخدم مُصادق عليه استرداد بيانات تكوين حساسة كان ينبغي إخفاؤها (redacted).
تقوم دالة البحث عن الإعدادات بحل اسم الإعداد المنقط إلى عقدة في شجرة التكوين. وعند تقديم اسم فرع (مثل Security أو MISP أو Plugin) بدلاً من إعداد ورقة محدد، تُرجع الدالة الشجرة الفرعية بأكملها. ونظراً لأن عقدة الفرع لا تحمل علامة إخفاء، يتم تجاوز فحص الإخفاء في نقطة نهاية استرداد الإعدادات، مما يؤدي إلى إرجاع محتويات الفرع الكاملة إلى المتصل. وهذا يعرّض قيمًا حساسة بما في ذلك ملح الأمان (security salt)، وكلمات مرور اتصال Redis، ومفاتيح واجهة برمجة التطبيقات الخاصة بالإضافات (plugin API keys).
تقوم نقطة نهاية ثانية تقوم بتعديل إعدادات الخادم بقراءة مخزن التكوين بأكمله عند حل اسم فرع، وإرجاع جميع الإعدادات إلى المتصل.
النتيجة هي كشف أسرار تكوين الخادم الحساسة لأي مستخدم يمكنه الوصول إلى نقاط نهاية إعدادات الخادم.
الإصدارات المتأثرة: <2.5.48.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.