CVE-2026-97863

misp-modules daxilindəki cisco_firesight_manager_ACL_rule_export modulu Cisco fireSIGHT Manager API-na autentifikasiya edən və onu çağıran bir shell skripti (.sh) yaradır. Modul konfiqurasiya dəyərlərini (IP ünvanı, giriş adı, şifrə, domen ID, siyasət ID) və MISP atribut dəyərlərini (təyinat IP-ləri, URL-lər, hadisə məlumatı şərhləri) heç bir təmizləmə və ya xüsusi simvolların əvəzlənməsi olmadan birbaşa tək dırnaqla göstərilmiş shell sətir təyinlərinə yerləşdirir. Dəyərlər tək dırnaqlı shell sətirlərinin daxilinə yerləşdirildiyi üçün, tək dırnaq simvolu ehtiva edən hər hansı bir dəyər (məsələn, MISP-ə göndərilmiş xüsusi hazırlanmış ip-dst və ya url atribut dəyəri) dırnaq kontekstindən çıxaraq hücumçuya ixrac edilmiş skriptə ixtiyari shell əmrlərini inyeksiya etməyə imkan verir. Sonradan yaradılmış .sh faylını dəyişdirilməmiş halda icra edən təhlükəsizlik analitiki, inyeksiya edilmiş əmrləri öz imtiyazları ilə işlədəcək ki, bu da fireSIGHT Manager etibarlılıq məlumatlarının ifşasına, ACL qaydalarının dəyişdirilməsinə və ya analitik iş stansiyasının kompromis edilməsinə səbəb ola bilər. Əlavə olaraq, modulda ikincili bir qüsur mövcud idi: 'config' dəyişəni yalnız şərt blokunun daxilində təyin edilmişdi, lakin daha sonra şərtsiz şəkildə istifadə olunurdu; bu da sorğu yükündə 'config' açarı olmadıqda NameError (xidmətdən imtina) xətasına səbəb olurdu. Zəifliyin istismarı üçün hücumçunun tək dırnaq simvolu ehtiva edən MISP hadisələri və ya atributları göndərmək imkanına malik olması və qurbanın ixrac edilmiş skripti icra etməsi tələb olunur. Standart MISP hadisə-göndərmə imtiyazlarından başqa heç bir autentifikasiyadan yan keçmə tələb olunmur.