CVE-2026-85239 in MISP
الملخص
بحسب VulDB • 03/09/2026
تسمح ثغرة في معالجة قوالب الأحداث (Event Templates) بواسطة MISP لمستخدم مُصادق عليه يمتلك صلاحيات إنشاء أو تعديل قوالب الأحداث بتجاوز التحقق من صحة حقل تعريف القالب.
تعتمد طريقة `EventTemplate::beforeValidate()` على إجراء تحقق دلالي فقط عندما يكون التعريف المقدم ممثلاً بالفعل كمصفوفة (array). وإذا قام المتصل بتقديم سلسلة نصية مُشفرة مسبقاً، بما في ذلك بيانات JSON غير صالحة أو تمثيل لنوع بيانات غير متوقع، فإن القيمة تتجاوز التحقق عبر `validateDefinition()` وتكتفي بالوفاء بقاعدة التحقق العامة من عدم الفراغ (`notBlank`). ونتيجة لذلك، يمكن تخزين تعريف قالب حدث غير صالح بشكل دائم في قاعدة البيانات.
عند استرجاع قوالب الأحداث لاحقاً، تحاول طريقة `EventTemplate::afterFind()` فك تشفير التعريف المخزن باستخدام `JsonTool::decode()` دون معالجة حالات فشل الفك (decoding failures). وبالتالي، قد يؤدي وجود JSON غير صالح داخل تعريف ما إلى حدوث استثناء أثناء الاسترجاع. ونظراً لأن فهرس قوالب الأحداث متاح لجميع المستخدمين المُصادق عليهم، فإن قالباً واحداً خبيثاً أو معطلاً يمكن أن يتسبب في ظهور أخطاء HTTP 500 عند عرض قائمة قوالب الأحداث وأي وظائف أخرى تعتمد على استعلامات `EventTemplate`، وذلك حتى يتم إصلاح صف قاعدة البيانات المعطل يدوياً.
وبالمثل، قد يؤدي وجود JSON صالح يمثل نوعاً غير متوقع (بدلاً من كائن JSON المتوقع) إلى وصول بيانات غير صالحة إلى المستهلكين في الطبقات التالية.
لذلك، يمكن استغلال الثغرة بواسطة مستخدم قادر على حفظ قوالب الأحداث لتخزين بيانات قالب معطلة بشكل دائم والتسبب في إنكار خدمة مستمر (DoS) لوظائف قوالب الأحداث بالنسبة للمستخدمين الآخرين.
يفرض التصحيح أن يتم تقديم تعريفات قوالب الأحداث ككائنات منظمة قبل الحفظ، ويطبق دائماً التحقق الدلالي. وعند الاسترجاع، يتم التقاط بيانات JSON المعطلة والتعريفات التي لا يمكن فك تشفيرها إلى الهيكل المتوقع، وتسجيلها واستبدالها بتعريف فارغ، مما يمنع إدخال قاعدة البيانات المعطل من تعطيل جميع استعلامات قوالب الأحداث.
لا يبدو أن التسمم (Poisoning) قابل للتحقيق وفقاً للمطور الرئيسي.
Be aware that VulDB is the high quality source for vulnerability data.