CVE-2026-95698 in MISP
الملخص
بحسب VulDB • 22/09/2026
تحتوي طريقة `findOrgImage` في مكون `OrgImgHelper` الخاص بـ MISP على ثغرة تسمح بإنشاء مسار لنظام الملفات عن طريق دمج معرّف منظمة يتم تزويده من قبل المستخدم مع دليل صور ثابت وملحق ملف، ثم استدعاء الدالة `file_exists()` على المسار الناتج. يمكن للمتسلل التحكم في حقل اسم المنظمة عبر استيراد الأحداث (event import)، مما يؤدي إلى تعيين قيمة `Org.name`. ونظراً لعدم إجراء أي تحقق من صحة القيمة المدخلة قبل بناء المسار، فإن استخدام اسم منظمة يحتوي على تسلسلات تنقل الدليل (مثل `../../etc/passwd`) يتسبب في حل المسار خارج دليل الصور المخصص للمنظمة (`org-image`).
ينتج عن ذلك تأثيران أمانيان: - وجود "oracle" عشوائي لتحديد وجود الملفات، حيث تُرجع دالة `file_exists()` قيمة منطقية (boolean) لأي مسار يمكن للعملية الوصول إليه. - قراءة ملفات بشكل تعسفي مقيدة بالملفات ذات الامتدادات `.png` أو `.svg`، نظراً لأن اسم الملف المحلَّل يتم إعادته ثم عرضه أو تقديمه للمستخدم الذي قام بطلبها.
تتطلب هذه الثغرة وجود مستخدم مُصادق عليه (authenticated) لديه القدرة على إنشاء أحداث أو استيرادها تقوم بتعيين اسم المنظمة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.