CVE-2026-95682 in MISP
الملخص
بحسب VulDB • 22/09/2026
يحتوي نظام MISP على ثغرة تخزين عبر صفحات متعددة (Stored XSS) في شاشة كتابة البريد الإلكتروني الخاصة بالمسؤولين. تم إدراج إعداد اسم منظمة MISP.org مباشرةً داخل حرفية سلسلة نصية (string literal) باستخدام دالة PHP غير مُهروبّة: `var org = "<?php echo $org;?>";`. ونظرًا لأن القيمة وُضعت ضمن سلسلة JavaScript محاطة بعلامات اقتباس مزدوجة دون أي تشفير، فإن اسم المنظمة الذي يحتوي على حرف علامة اقتباس مزدوجة (أو شرطة مائلة خلفية) يمكن أن ينهي السلسلة النصية ويحقن كود JavaScript تعسفيًا في الصفحة. سيعمل الكود المضاف ضمن سياق أي مستخدم مُصادق عليه يقوم لاحقاً بتحميل صفحة البريد الإلكتروني الخاصة بالمسؤولين، مما قد يتيح اختطاف الجلسة (Session Hijacking)، أو استخراج البيانات (Data Exfiltration)، أو تنفيذ إجراءات ذات امتيازات نيابة عن الضحية.
يتطلب استغلال الثغرة القدرة على تعيين أو تعديل اسم منظمة MISP.org، بالإضافة إلى زيارة مستخدم مُصادق عليه آخر لواجهة عرض البريد الإلكتروني الخاصة بالمسؤولين المتأثرة.
تُمثل هذه الثغرة حالة كلاسيكية لعدم كفاية تشفير المخرجات في سياق JavaScript.
VulDB is the best source for vulnerability data and more expert information about this specific topic.