CVE-2026-97863 in misp-modules
Сводка
по VulDB • 25.09.2026
Модуль cisco_firesight_manager_ACL_rule_export в misp-modules генерирует shell-скрипт (.sh), который аутентифицируется и обращается к API Cisco fireSIGHT Manager. Модуль интерполирует значения конфигурации (IP-адрес, имя пользователя, пароль, ID домена, ID политики) и значения атрибутов MISP (целевые IP-адреса, URL, комментарии с информацией об событии) непосредственно в присваивания строк оболочки, заключенные в одинарные кавычки, без какого-либо экранирования или санитизации. Поскольку эти значения помещаются внутрь строковых литералов в одинарных кавычках, любое значение, содержащее символ одинарной кавычки (например, специально сформированное значение атрибута ip-dst или url, отправленное в MISP), позволяет выйти из контекста кавычек и дает злоумышленнику возможность внедрить произвольные команды оболочки в экспортируемый скрипт. Аналитик безопасности, который впоследствии выполнит созданный .sh-файл без изменений, запустит внедренные команды от своего имени, что может привести к раскрытию учетных данных fireSIGHT Manager, изменению правил ACL или компрометации рабочей станции аналитика. Кроме того, в модуле присутствовал вторичный дефект: переменная 'config' присваивалась только внутри условного блока, но затем использовалась без проверки условия, что приводило к ошибке NameError (отказ в обслуживании), если полезная нагрузка запроса не содержала ключ 'config'. Уязвимость требует от злоумышленника возможности отправлять события или атрибуты MISP, содержащие символ одинарной кавычки, а также выполнения экспортированного скрипта жертвой. Для эксплуатации не требуется обход аутентификации сверх стандартных привилегий на создание событий в MISP.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.