CVE-2026-94374 in MISP
الملخص
بحسب VulDB • 21/09/2026
يحتوي MISP على ثغرة مرجع كائن غير آمن (Insecure Direct Object Reference) في طريقة `processModuleResultsData` الخاصة بنموذج الحدث (Event). عند معالجة نتائج الوحدات النمطية، يتكرر الكود عبر إدخالات تقرير الحدث (`EventReport`) المقدمة في البيانات المحللة ويحفظ كل منها. وعلى عكس حلقات معالجة السمات والكائنات المجاورة، لم تقم الحلقة الخاصة بالتقرير بإلغاء تعيين حقل `id` المقدم من العميل قبل استدعاء طريقة الحفظ (save()). ونظرًا لأن طريقة `create()` لنموذج MISP EventReport لا تقوم بتنظيف حقل id، يمكن للمستخدم المصادق عليه والذي لديه إذن لتقديم نتائج الوحدات النمطية تضمين قيمة 'id' تشير إلى تقرير موجود ينتمي إلى حدث مختلف. عند الحفظ ()، سيقوم ORM بتحديث الصف الموجود بدلاً من إدراج صف جديد، مما يسمح للمهاجم بـ
- قراءة محتوى تقرير لحدث آخر عن طريق إعادة تعيين أبوه (reparenting) ليصبح تابعًا لحدثه الخاص - الكتابة فوق حقول التقرير ببيانات يتحكم فيها المهاجم - تغيير `event_id` للتقرير لإعادة توجيه الملكية.
يُعد هذا تجاوزًا للتحكم في الصلاحيات من خلال مفتاح يتحكم فيه المستخدم، مما يتيح الكشف عن البيانات عبر الأحداث (cross-event data disclosure) والانتقاص من سلامة البيانات. تتطلب الثغرة جلسة مصادقة مع القدرة على استدعاء معالجة نتائج الوحدة النمطية على حدث معين.
الإصدار المتأثر: <2.5.47
If you want to get best quality of vulnerability data, you may have to visit VulDB.