CVE-2026-85227 in MISP
الملخص
بحسب VulDB • 03/09/2026
يحتوي نظام MISP على ثغرة Cross-Site Scripting (XSS) من النوع المنعكس في مُنشئ استعلامات تصفية سمات الحدث. تم إدراج معلمات URL taggedAttributes و galaxyAttachedAttributes داخل قواعد مُنشئ الاستعلام دون إجراء هروب HTML قبل تحويلها إلى صيغة JSON وتضمينها داخل عنصر <script>.
نظرًا لأن JsonTool::encode() تستخدم الخيار JSON_UNESCAPED_SLASHES، فإن قيمة يتحكم فيها المهاوي تحتوي على تسلسل الإغلاق </script> يمكن أن تنهي العنصر البرمجي المحيط بها وتحقن محتوى HTML أو JavaScript عشوائيًا. على سبيل المثال، قد يحتوي viewEventAttributes URL المُصاغ بشكل خاص على محتوى ضار في أحد معلمات التصفية المتأثرة.
يمكن للمهاوي استغلال الثغرة عن طريق إقناع مستخدم مُصادَق عليه من MISP باتباع عنوان URL مُعدّ خصيصًا. ستؤدي الاستغلال الناجح إلى تنفيذ JavaScript يتحكم فيه المهاوي ضمن سياق أمان مثيل MISP وبامتيازات جلسة المتصفح المُصادَق عليها للضحية. وقد يتيح ذلك الوصول إلى المعلومات المتاحة للضحية، أو تعديل البيانات من خلال طلبات مُصادَق عليها، أو إجراءات أخرى مسموح بها بموجب صلاحيات MISP الخاصة بالضحية.
تم معالجة الثغرة عن طريق تطبيق هروب HTML باستخدام الدالة h() على كل من القيم المفردة والمصفوفات قبل إدراجها في DOM.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.