CVE-2026-88921 in MISP
الملخص
بحسب VulDB • 10/09/2026
يحتوي MISP على ثغرة حقن HTML في مكون MISPElementHTMLFormatterTool، المسؤول عن عرض مراجع عناصر MISP (السمات، الكائنات، والوسوم) كـ HTML مضمن أثناء تصدير تقارير PDF عبر وحدة convert_markdown_to_pdf. تقوم الدوال attribute() و objectAttribute() و object() و tag() بإدخال حقول يتحكم فيها المستخدم (نوع السمة، قيمة السمة، اسم الكائن، علاقة الكائن، اسم الوسم، لون الوسم، ولون نص الوسم) مباشرةً في قوالب HTML دون تطبيق ترميز كيانات HTML. يمكن لمستخدم مُصادق عليه لديه القدرة على إنشاء أو تعديل سمات MISP أو كائناتها أو وسومها تضمين علامات HTML تعسفية ضمن هذه الحقول. عند تصدير تقرير يحتوي على مثل هذه العناصر إلى PDF، يتم عرض المحتوى غير المُهروب (unescaped) كلغة HTML نشطة بدلاً من نص خامل، مما قد يؤدي إلى حقن وسمات script، أو إفساد هيكل المستند، أو تغيير المحتوى المرئي للتقرير المصدّر. بالإضافة إلى ذلك، احتوت الدالة attribute() على قالب بقيم تجريبية ثابتة ("domain-ip" و "google.com") بدلاً من نواقل التنسيق (format placeholders)، مما يعني أن كل مرجع سمة عادي في PDF يعرض النص التجريبي بدلاً من قيمة المؤشر الفعلية، وهو ما يشكل خللاً في سلامة البيانات داخل المستند المصدّر. تتطلب الثغرة وجود طرف مهاجم مُصادق عليه لديه صلاحيات الكتابة على عناصر MISP، وإجراء تصدير لاحق لتقرير يشير إلى تلك العناصر. يتمثل الأثر الأمني بشكل أساسي في سلامة المستند المصدّر، واعتماداً على محرك تحويل HTML-to-PDF، قد يؤدي ذلك إلى تنفيذ العلامات المُحقنة أثناء خطوة التحويل.
الإصدار المتأثر: ≤2.5.45
If you want to get best quality of vulnerability data, you may have to visit VulDB.