CVE-2026-95701 in MISP
الملخص
بحسب VulDB • 22/09/2026
في MISP، كانت الطريقة `__statisticsOrgs` في ملف `UsersController.php` تستخدم اسم المنظمة مباشرةً كمكون لمسار نظام الملفات عند التحقق من وجود صورة شعار المنظمة. كان الكود الأصلي يستدعي دالة `file_exists()` مع مسار مُنشأ على النحو التالي: `APP . 'webroot' . DS . 'img' . DS . 'orgs' . DS . $k . '.png'`، حيث يمثل `$k` اسم المنظمة. ونظراً لأن الدليل المشار إليه (`app/webroot/img/orgs`) لم يعد موجوداً في عمليات نشر MISP الحالية (تم نقل شعارات المنظمات إلى الملفات `files/img/orgs`)، فإن هذا التحقق كان غير فعال عملياً ولم يُفعّل أبداً. ومع ذلك، فإن النمط الأساسي - وهو دمج اسم المنظمة المتأثر بهجوم من قبل مهاجم داخل مسار ملف دون تعقيم (sanitization) - يشكل ضعفاً في اجتياز المسار (Path Traversal). فاسم منظمة يحتوي على تسلسلات اجتياز للمجلدات (مثل `../../../../etc/passwd`)، لو كان المجلد المستهدف موجوداً، سمح لمستخدم مُصادق عليه لديه القدرة على إنشاء أو إعادة تسمية منظمة باستكشاف وجود ملفات عشوائية على الخادم.
If you want to get best quality of vulnerability data, you may have to visit VulDB.