PT-2026-145772
CVE-2026-127046
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 4.0
9.2
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N
اسم البرنامج المتأثر والإصدارات المتأثرة
MISP Modules (إصدارات متأثرة غير محددة)
الوصف
يحتوي مكون الموقع الإلكتروني لـ MISP Modules على ثغرة تسريب معلومات في واجهة إدارة الأدوات الخارجية. يقوم نقطة النهاية '/external tools/list' بإرجاع مفاتيح API المخزنة عبر حقل
api key في استجابة JSON الخاصة بها. يمكن الوصول إلى نقطة النهاية هذه بدون مصادقة، مما يسمح لأي عميل يمكنه الوصول إلى الشبكة باسترداد مفاتيح API لجميع الأدوات الخارجية المهيأة. تُستخدم هذه المفاتيح من قبل الخادم للمصادقة على عمليات الإرسال إلى خدمات التحليل أو الإثراء الخارجية، مما يسمح للمهاجم بانتحال صفة مثيل MISP أو الوصول إلى تلك الخدمات الخارجية مباشرة. بالإضافة إلى ذلك، يقوم نموذج التحرير المستند إلى المتصفح بتعبئة حقل إدخال مفتاح API مسبقًا، مما يكشف عن بيانات الاعتماد في نموذج كائن المستند (DOM). كما ساهمت نقطة النهاية 'change config' في هذا التعرض من خلال تطلب إرسال مفتاح API من العميل عند كل عملية حفظ، مما أدى إلى تخزين المفتاح في كائن الحالة التفاعلية للمتصفح وقائمة الأدوات الموجودة في الذاكرة.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾