CVE-2026-97863

misp-modules içerisindeki cisco_firesight_manager_ACL_rule_export modülü, Cisco fireSIGHT Manager API'sine kimlik doğrulaması yapan ve bu API'yi çağıran bir kabuk betiği (.sh) oluşturur. Modül; yapılandırma değerlerini (IP adresi, giriş adı, şifre, alan kimliği, politika kimliği) ve MISP öznitelik değerlerini (hedef IP'ler, URL'ler, olay bilgisi yorumları), herhangi bir kaçış karakteri veya temizleme işlemi uygulamadan doğrudan tek tırnaklı kabuk dizesi atamalarına yerleştirir. Değerler tek tırnaklı kabuk dizeleri içine yerleştirildiği için, tek tırnak karakteri içeren herhangi bir değer (örneğin, MISP'e gönderilen özel olarak hazırlanmış bir ip-dst veya url özniteliği değeri), tırnak bağlamını bozarak saldırganın dışa aktarılan betiğe rastgele kabuk komutları enjekte etmesine olanak tanır. Oluşturulan .sh dosyasını daha sonra değiştirilmeden çalıştıran bir güvenlik analisti, enjekte edilen komutları kendi yetkileriyle çalıştıracaktır; bu durum potansiyel olarak fireSIGHT Manager kimlik bilgilerinin ifşa olmasına, ACL kurallarının değiştirilmesine veya analist iş istasyonunun ele geçirilmesine yol açabilir. Ek olarak modül, 'config' değişkeninin yalnızca koşullu bir blok içinde atandığı ancak sonrasında koşulsuz olarak referans verildiği ikincil bir hata içermekteydi; bu durum, istek yükü (payload) 'config' anahtarından yoksun olduğunda bir NameError (hizmet reddi) oluşmasına neden olmaktadır. Zafiyet, saldırganın tek tırnak karakteri içeren MISP olayları veya öznitelikleri gönderme yeteneğine sahip olmasını ve kurbanın dışa aktarılan betiği çalıştırmasını gerektirir. Standart MISP olay gönderme yetkilerinin ötesinde herhangi bir kimlik doğrulama atlatma işlemi gerekmemektedir.