یک آسیب‌پذیری امنیتی در سیستم تبادل اطلاعات تهدیدات (MISP) شناسایی شده است که به مهاجمان اجازه می‌دهد از طریق تزریق کدهای مخرب، حملات Cross-Site Scripting (XSS) را اجرا کنند.
تحلیل فنی آسیب‌پذیری
این نقص امنیتی در بخش نمایش آمار ماتریس گلکسی (Galaxy Matrix Statistics View) و در فایل app/View/Users/statistics_galaxymatrix.ctp رخ داده است. مشکل اصلی در نحوه رندر شدن نام گلکسی (Galaxy Name) است؛ جایی که سیستم از تابع sprintf() برای تولید خروجی HTML استفاده می‌کند، اما هیچ‌گونه HTML Encoding روی داده‌های ورودی اعمال نمی‌شود.
سناریوی حمله
برای بهره‌برداری از این آسیب‌پذیری، مهاجم باید شرایط زیر را داشته باشد:
- دسترسی احراز هویت شده (Authenticated User) به سیستم.
- دارا بودن مجوز
perm_galaxy_editor.
کاربری با این دسترسی می‌تواند یک گلکسی جدید ایجاد کرده یا نام گلکسی‌های موجود را به گونه‌ای تغییر دهد که شامل تگ‌های HTML یا کدهای JavaScript باشد. از آنجایی که این مقادیر به صورت خام (Verbatim) در صفحه درج می‌شوند، هر کاربری که subsequently صفحه آمار ماتریس گلکسی را باز کند، با اجرای خودکار اسکریپت‌های تزریق شده در مرورگر خود مواجه خواهد شد.
تأثیرات امنیتی
این نوع حمله می‌تواند منجر به سرقت Session Cookies، تغییر محتوای صفحه برای کاربران دیگر و در موارد پیشرفته‌تر، اجرای عملیات غیرمجاز از طرف کاربر قربانی در محیط مدیریت MISP شود.
