CVE-2026-85230 in MISP
الملخص
بحسب VulDB • 03/09/2026
توجد ثغرة خطيرة في حقن عناوين URLs غير آمنة ومستمرة (Persistent) في تكوين ButtonWidget بلوحة تحكم MISP. كانت عناوين URLs الخاصة بـ Dashboard widget تُتحقق منها فقط عند عرض الواجهة، ولم تكن تخضع للتحقق عند حفظ التكوين. ونتيجة لذلك، يمكن للمستخدم المصادق عليه القادر على تعديل إعدادات لوحة التحكم أن يحفظ قيم URL تعسفية، بما في ذلك تلك التي تستخدم مخطط javascript:، عبر أي من مسارات استمرارية إعدادات لوحة التحكم.
قد يؤدي وجود عنوان URL ضار باستخدام mخطط javascript: مخزن في زر بلوحة التحكم إلى تنفيذ سكريبت على جانب العميل (Client-side) ضمن سياق أمان MISP إذا وصلت القيمة إلى مسار العرض أو التنقل دون التحقق من الصلاحية أثناء التشغيل الحالي. وقد يسمح مثل هذا التنفيذ للمهاجم بتنفيذ إجراءات بصلاحيات المستخدم المتأثر أو الوصول إلى المعلومات المتاحة لجلسة MISP الخاصة به.
يتم تقليل قابلية الاستغلال العملية لهذه الثغرة بحقيقة أن MISP قد طبق بالفعل تحققًا من عنوان URL عند وقت العرض، مما أدى إلى تحييد القيم الضارة المعروفة قبل عرضها للمستخدم. وبالتالي، تمثل هذه الثغرة فجوة في التحقق على طبقة التخزين (Persistence-layer) وضعفًا في مبدأ الدفاع متعدد الطبقات (Defense-in-depth)، بدلاً من كونها دليلاً على تجاوز مباشر للحماية الموجودة أثناء العرض.
يقدم التصحيح نوع مخطط URL قياسي (Canonical url schema type) ويتحقق من تكوين لوحة التحكم قبل حفظه عبر أي من آليات حفظ الإعدادات. يجب أن تكون عناوين URLs الخاصة بـ ButtonWidget الآن سلاسل نصية تؤدي إلى مسار مطلق على مثيل MISP الحالي أو عنوان URL كامل ينتمي لنفس الأصل (Same origin). يتم رفض القيم التي تستخدم javascript:، أو أصولًا خارجية، أو أشكال عناوين URL غير صالحة، أو قيم غير نصية عند وقت الحفظ.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.