CVE-2026-9136 in MISP
الملخص
بحسب VulDB • 20/05/2026
تم تحديد ثغرة في سير عمل إنشاء اقتراحات ShadowAttribute. تقبل الإضافة "add" بيانات طلب ShadowAttribute التي يتحكم فيها المستخدم دون إزالة حقل المعرف (id) قبل حفظ السجل. ونظراً لأن الإطار الأساسي يعامل المفتاح الأساسي المقدم كإجراء لتحديث سجل موجود، يمكن لمستخدم مُصادق عليه قادر على تقديم اقتراحات سمات الظل (shadow attribute) تقديم معرّف لـ ShadowAttribute موجود وتسبب في تحديث ذلك السجل بدلاً من إنشاء اقتراح جديد.
يمكن أن يؤدي ذلك إلى تعديل غير مصرح به لسمات الظل الموجودة، مما قد يؤثر على الاقتراحات المرتبطة بالأحداث التي لا ينبغي للمستخدم أن يكون قادراً على تغييرها. اعتماداً على تكوين النشر واستجابات واجهة برمجة التطبيقات (API) المتاحة، قد تؤدي الثغرة أيضاً إلى كشف بيانات الاقتراح أو نقلها عبر سياقات الأحداث.
تنتج الثغرة عن الثقة في مفتاح أساسي مقدم من العميل أثناء إنشاء الكائن. يزيل الإصلاح حقل المعرف (id) من بيانات ShadowAttribute الواردة قبل معالجتها، مما يضمن أن نقطة النهاية تقوم دائماً بإنشاء اقتراح جديد بدلاً من تحديث واحد موجود. تم إصلاح هذه الثغرة في MISP 2.5.38.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.