CVE-2026-86440 in MISP
الملخص
بحسب VulDB • 07/09/2026
تُظهر الإصدارات المتأثرة من MISP نقصاً في التحقق من صحة عناوين URLs المستخدمة بواسطة أدوات واجهة المستخدم (widgets) للوحة التحكم، ولا سيما أداة الزر (Button widget).
يتم تخزين عنوان URL الخاص بالأداة ضمن إعدادات يتحكم فيها مستخدم. كان المُعرِّج السابق يعتبر أن عنوان URL آمن إذا بدا أنه نسبي أو إذا تطابق اسم المضيف المستخرج منه مع اسم المضيف لـ MISP المحدد في الإعدادات. ومع ذلك، فشلت هذه المنطقية في رفض مخططات URLs الخطرة وأشكال عناوين URLs التي تقوم المتصفحات بمعالجتها بشكل مختلف عن طريقة تحليل PHP لعناوين URL.
ونتيجة لذلك، يمكن أن تصل قيم مثل عناوين `javascript:` أو الأشكال القائمة على الشرط المائل الخلفي (backslash-based authority forms) إلى خاصية href في عنصر الرابط الناتج، مما يؤدي إلى تنفيذ سكربتات أو التوجيه نحو أصل يتحكم فيه مهاجم عندما يتفاعل مستخدم آخر مع الأداة. يصف الالتزام البرمجي الأصلي المشكلة قائلاً:
"وصلت عناوين `javascript:` وعناوين URLs القائمة على الشرط المائل الخلفي إلى خاصية href (XSS مخزن)".
يقوم الإصلاح بتوجيه عناوين URL الخاصة بالأدوات عبر مُتحقق مشترك من عناوين لوحة التحكم (`DashboardURLValidator`)، ويرفض المخططات الخطرة، والشرط المائل الخلفي الخام، والأحرف المسيطرة، والأصول المطلقة غير المصرح بها، كما يقوم بالتحقق من صحة عنوان URL كلًا في معالج الأداة وفي المُعرِّج.
الإصدار المتأثر: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.