CVE-2026-90895 in MISP
الملخص
بحسب VulDB • 14/09/2026
تُنفذ الإصدارات المتأثرة من shell سطر الأوامر التفاعلي (CLI) الخاص بـ MISP التحكم في الوصول بشكل مستقل عن تطبيق الويب العادي، مما يؤدي إلى عدة تناقضات في التفويض.
يوضح التصحيح أن وصول CLI قد يختلف عن تطبيق الويب في مجالات متعددة حساسة للأمن: - لم تطبق قوائم التغذية (feed listings) نفس قيود البحث `lookup_visible` للمستخدمين الذين لا ينتمون لمنظمة الاستضافة؛ - لم يطبق الوصول إلى تفاصيل التغذية نفس تفويض منظمة الاست hosting/مدير الموقع كما هو الحال مع `FeedsController::view()`؛ - يمكن أن يتم الكشف عن قيم `Feed.headers`، التي قد تحتوي على بيانات اعتماد تفويض HTTP، بدلاً من إخفائها أو تمويهها؛ - لم تتم إخفاء صراحة لقيم مفاتيح المصادقة (authkey) لمزامنة الخادم في مخرجات تفاصيل CLI؛ - لم يكن استخدام الوصول إلى تفاصيل مجموعة المشاركة (`sharing-group detail access`) متسقاً مع استدعاء `SharingGroup::checkIfAuthorised()`؛ - يمكن لأمر `use` إنشاء سياق لسجل دون إثبات أن المستخدم مفوض لعرض ذلك السجل أولاً.
يعزز الالتزام أيضاً التصفح (pagination) وعرض الطرفية، بما في ذلك تحييد تسلسلات التحكم بالطرفية الموجودة في القيم المدعومة بقاعدة البيانات. هذه تغييرات مهمة لتعزيز الأمان، لكن الثغرة الرئيسية هي عدم التطابق بين تفويض CLI وكشف البيانات.
الإصدار المتأثر: ≤2.5.45
If you want to get best quality of vulnerability data, you may have to visit VulDB.