PT-2026-117308
CVE-2026-112188
·
تاريخ النشر
2026-10-19
·
تاريخ التحديث
2026-10-19
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
MISP الإصدارات السابقة لـ 2.5.48
Description
يوجد خلل في آلية البحث عن إعدادات الخادم يسمح للمستخدمين المصرح لهم باسترداد بيانات تكوين حساسة كان يجب حجبها. تقوم وظيفة البحث عن الإعدادات بتحليل اسم إعداد منقط إلى عقدة في شجرة التكوين؛ ومع ذلك، عند تقديم اسم فرع (مثل Security أو MISP أو Plugin) بدلاً من إعداد ورقة محدد، تقوم الوظيفة بإرجاع الشجرة الفرعية بأكملها. ونظراً لأن عقد الفرع لا تحمل علامة حجب، يتم تجاوز فحص الحجب في نقطة نهاية استرداد الإعدادات. يؤدي ذلك إلى كشف معلومات حساسة، بما في ذلك salt الأمان، وكلمات مرور اتصال Redis، ومفاتيح API الخاصة بالإضافات. بالإضافة إلى ذلك، تقوم نقطة نهاية ثانية تُستخدم لتحرير إعدادات الخادم بإرجاع مخزن التكوين بالكامل عند تحليل اسم الفرع.
Recommendations
التحديث إلى الإصدار 2.5.48 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾