PT-2026-69847
CVE-2026-72751
·
تاريخ النشر
2026-08-10
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 4.0
5.1
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
CTI-Transmute (لم يتم تحديد الإصدارات المتأثرة)
الوصف
توجد ثغرة من نوع «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة في الرسم البياني للتحويل المستخدم لتصور محتوى MISP وSTIX. يتم تمرير القيم التي يتحكم فيها المهاجم من بيانات CTI المحولة إلى وحدات تحليل HTML في واجهة مستخدم الرسم البياني دون إبطال تأثيرها بشكل كافٍ. وعلى وجه التحديد، يمكن أن تحتوي تسميات العقد، والتسميات الفرعية للعقد، وتسميات الحواف، وخصائص العقد، وخصائص الحواف، وأنواع العقد على كود HTML أو JavaScript مُصمم خصيصًا. تقوم مكتبة الرسوم البيانية Pivotick بعرض هذه القيم من خلال عمليات تحليل HTML، مما يسمح بتفسير العناصر الخبيثة التي تحتوي على معالجات الأحداث على أنها علامات ترميز. بالإضافة إلى ذلك، تستخدم وظيفة Open raw JSON دالة
document.write() مع سلسلة HTML مُدرجة، مما يمكّن JSON المُصمم خصيصًا من حقن علامات ترميز قابلة للتنفيذ. توجد نقاط هجوم أخرى في لوحة خصائص الرسم البياني حيث تعالج الدالة tryResolveHTMLElement قيم السلاسل باستخدام template.innerHTML، مما يؤدي إلى التنفيذ عند تمرير المؤشر فوق عقدة في الرسم البياني أو عند تحديدها.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
كإجراء تخفيفي، قم بتنفيذ التغييرات التالية:
-
قم بتحويل علامات العقد وعلامات العقد الفرعية وعلامات الحواف إلى أحرف HTML آمنة قبل تمريرها إلى Pivotick.
-
قم بتقييد قيم أنواع عقد الرسم البياني على مجموعة أحرف معرفات آمنة.
-
قم بتغليف قيم خصائص العقد والحواف في عناصر DOM يتم ملؤها عبر
textContentلمنع
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾