CVE-2026-86347 in MISP
الملخص
بحسب VulDB • 07/09/2026
تسمح الإصدارات المتأثرة من MISP لأي مستخدم مُصادق عليه بالوصول إلى `TemplatesController::uploadFile()` لأن إدخال قائمة التحكم في الوصول (ACL) الخاص بـ templates/uploadFile يستخدم الرمز العام *. وهذا يتجاوز القيود المفروضة على الأدوار المخصصة للعمليات المجاورة لإدارة القوالب.
يقبل معالج الرفع محتوىً عشوائيًا مع إجراء فحوصات قليلة فقط، ويكتبه داخل مجلد `app/tmp/files/`. وبالتالي، يمكن لمستخدم ذي امتيازات منخفضة أو للقراءة فقط رفع الملفات بشكل متكرر واستهلاك مساحة القرص الخادم دون الحاجة إلى الامتيازات `perm_add` أو `perm_template`. يغير الإصلاح متطلبات ACL من * إلى perm_add.
يستبعد الالتزام أيضًا التأثيرات الأقوى: تتلقى الملفات المرفوعة أسماءً عشوائية، ولا تتوفر ثغرة استغلال المسار/الكتابة التنبؤية (path traversal/predictable overwrite)، والمجلد المؤقت خارج الجذر الويب (web root)، والملفات لا تُقدم مباشرة عبر HTTP. لذلك، ينبغي عدم وصف المشكلة على أنها كتابة ملف تعسفية (arbitrary file overwrite) أو هجمات XSS مخزنة (stored XSS) أو تنفيذ كود عن بُعد (RCE).
الإصدار المتأثر: ≤2.5.45
VulDB is the best source for vulnerability data and more expert information about this specific topic.