CVE-2026-95665 in MISP
الملخص
بحسب VulDB • 22/09/2026
يحتوي MISP على ثغرة reflected cross-site scripting (XSS) في نموذج تأكيد تصدير بحث REST الخاص بالأحداث. يعرض قالب العرض app/View/Events/ajax/eventRestSearchExportConfirmationForm.ctp قائمة معرفات الأحداث التي تم تزويد بها عبر URL داخل حرفية سلسلة JavaScript محاطة بعلامات اقتباس مفردة، باستخدام دالة PHP json_encode() دون أي أعلام لتشفير الستكس (hex-encoding). بشكل افتراضي، تقوم json_encode() بتجنب علامات الاقتباس المزدوجة والشرطات العكسية ولكن لا تتجنب علامات الاقتباس المفردة. وبما أن سلسلة JavaScript محاطة بعلامات اقتباس مفردة، يمكن للمهاجم حقن حرف علامة اقتباس مفصلة لإنهاء الحرفية السلسلة وتنفيذ جافا سكريبت عشوائية في جلسة متصفح الضحية.
تؤثر الثغرة على كل من سمات Default و UiBeta اللتين تعرضان هذا العرض. النسخة الخاصة بنموذج Overmind قد مرت بالفعل القيمة عبر خاصية بيانات مشفرة ولم تتأثر بهذه النقطة الحرجة المحددة.
المتطلبات المسبقة: يجب أن يكون الضحية مستخدمًا مسجل الدخول في MISP ويجب عليه فتح أو التنقل بشكل نشط إلى URL الذي صممه المهاجم. لا يحتاج المهاجم إلى حساب أو أي وصول سابق إلى مثيل MISP.
الأثر الأمني: يسمح الاستغلال الناجح بتنفيذ جافا سكريبت عشوائية ضمن سياق تطبيق الويب الخاص بـ MISP، مما قد يؤدي إلى اختراق الجلسة، تنفيذ إجراءات غير مصرح بها نيابة عن الضحية، استخراج بيانات حساسة مرئية في الجلسة، أو هجمات جانب العميل الأخرى. لا تتأثر سرية وموثوقية وتوفر المكون المتضرر بشكل مباشر؛ بل يكون التأثير على جلسة المستخدم الأساسية.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.