PT-2026-79352
CVE-2026-77751
·
تاريخ النشر
2026-08-21
·
تاريخ التحديث
2026-10-16
الوصف من
CVSS 4.0
8.8
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
misp-stix (الإصدارات المتأثرة غير محددة)
الوصف
توجد مشكلة تتعلق باجتياز المسار في معالجة أسماء قوالب كائنات MISP أثناء استيراد STIX 2 وتصدير MISP إلى STIX 2. يقوم النظام بإنشاء مسار لنظام الملفات عن طريق ربط دليل قوالب كائنات MISP المُهيأ، واسم الكائن، وملف definition.json. ونظرًا لأن أسماء الكائنات الواردة من محتوى STIX أو MISP غير الموثوق به لا تخضع لقيود كافية، يمكن للمهاجم تقديم اسم مُصمم خصيصًا يحتوي على فواصل مسارات أو تسلسلات عبور مثل
../ للهروب من الدليل المقصود وتحميل ملف definition.json من موقع آخر يمكن الوصول إليه. أثناء استيراد STIX 2، يمكن للمتغير x misp name من كائن STIX مخصص أن يُشغّل هذه الآلية. قد تكون هذه المشكلة مستمرة، حيث إن الاسم الخبيث المخزن في حدث MISP قد تتم معالجته أثناء تصدير STIX 2 بواسطة عملية تتمتع بامتيازات أعلى. إذا تم العثور على ملف مناسب خارج دليل القوالب، فقد يتم تفسير محتوياته على أنه قالب، مما يؤدي إلى الكشف عن البيانات المحلية وتعديل البيانات الوصفية للكائن أو دلالاته.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾