CVE-2026-76820
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
OpenCTI przed wersją 7.260701.0 zawiera podatność w zapytaniu GraphQL synchronizerFetch, które wywołuje fetchRemoteStreams po sprawdzeniu tylko, czy adres URL zdalnego strumienia używa HTTP lub HTTPS. Backend nie stosuje listy blokad dla przychodzących danych ani nie odrzuca adresów prywatnych, pętli zwrotnej i link-local, co pozwala uwierzytelnionemu kontu z uprawnieniem INGESTION na zmuszenie OpenCTI do żądania usług wewnętrznych i punktów końcowych metadanych chmury. Błędy połączenia mogą umożliwić skanowanie sieci wewnętrznej, a odpowiedzi z kompatybilnych punktów mogą ujawnić wewnętrzne dane.
Ocena ryzyka
Ryzyko obejmuje możliwość skanowania wewnętrznej sieci i ujawnienia danych wewnętrznych, co może prowadzić do eskalacji ataku w infrastrukturze organizacji.
Rekomendacja
Zaleca się aktualizację OpenCTI do wersji 7.260701.0 lub nowszej oraz skonfigurowanie zapory sieciowej w celu blokowania ruchu do adresów prywatnych i metadanych chmury z platformy.
Inne podatności w OpenCTI
Zobacz wszystkie- CVE-2025-61781Wysokie
OpenCTI przed wersją 6.8.1 zawiera podatność w mutacji GraphQL WorkspacePopoverDeletionMutation, która pozwala na usunięcie obiektów workspace (np. dashboardów, przypadków dochodzeń) bez odpowiedniej autoryzacji. Atakujący może podać UUID innego użytkownika i usunąć cały jego workspace, ponieważ API nie weryfikuje własności zasobu.
- CVE-2026-27960Krytyczne
W OpenCTI, w wersjach od 6.6.0 do 6.9.12, występuje podatność na eskalację uprawnień, która może być wykorzystana przez nieautoryzowanych atakujących do zapytań do API jako dowolny istniejący użytkownik, w tym domyślne konto administratora.
- CVE-2026-76821Wysokie
OpenCTI przed wersją 7.260706.0 zawiera podatność w funkcji extractWithRegexp w mapperze JSON, która kompiluje wyrażenia regularne dostarczone przez użytkownika bez walidacji ich złożoności. Uwierzytelniony użytkownik z uprawnieniami do tworzenia mapperów JSON może dostarczyć wzorzec powodujący katastrofalne cofanie się, blokując pętlę zdarzeń Node.js i czyniąc API GraphQL niedostępnym dla wszystkich użytkowników. Zaplanowane przetwarzanie może wielokrotnie uruchamiać złośliwy mapper bez dodatkowego działania atakującego.
- CVE-2026-35211Średnie
OpenCTI GraphQL API udostępnia operator filtru skryptów w wyliczeniu FilterOperator, który pozwala uwierzytelnionym użytkownikom z uprawnieniem KNOWLEDGE na przekazywanie niesprawdzonych skryptów Elasticsearch Painless do zapytań wyszukiwania. Może to prowadzić do przeciążenia zasobów CPU klastra i odmowy usługi dla wszystkich użytkowników.
- CVE-2026-35210Wysokie
W OpenCTI przed wersją 7.260326.0 wykryto podatność polegającą na obejściu autoryzacji. Uwierzytelniony użytkownik z uprawnieniem KNOWLEDGE_KNUPDATE może ominąć walidację poziomu zaufania i ograniczenia dotyczące oznaczeń obiektów, wstrzykując nagłówek HTTP synchronized-upsert: true. Pozwala to na obniżenie poziomów zaufania, usunięcie oznaczeń bezpieczeństwa (np. TLP:RED) oraz manipulację relacjami i obiektami STIX.
- CVE-2026-35212Średnie
OpenCTI w wersjach przed 7.260227.0 jest podatny na XSS podczas renderowania danych treści wiadomości e-mail w obserwowalnym typie. Zawartość pola body nie jest odpowiednio sanityzowana podczas renderowania. Wymaga interakcji użytkownika, ale może być wykorzystana przez osobę udostępniającą STIX lub dowolnego ingestera.
- CVE-2026-44730Wysokie
OpenCTI to platforma open source do zarządzania wiedzą o zagrożeniach cybernetycznych i obserwacjach. Przed wersją 6.9.7, administrator organizacji może eskalować swoje uprawnienia, dodając użytkownika z innej organizacji o wyższych uprawnieniach do własnej organizacji. Wynika to z nieprawidłowej kontroli ACL na userEdit relationAdd. Podatność naprawiona w wersji 6.9.7.
Oryginalny opis (angielski, źródło NVD)
OpenCTI is an open source platform for managing cyber threat intelligence knowledge and observables. Prior to 7.260701.0, the synchronizerFetch GraphQL query called fetchRemoteStreams after checking only that a remote stream URL used HTTP or HTTPS. The backend did not apply the ingestion deny list or reject private, loopback, and link-local destinations, allowing an authenticated account with the INGESTION capability to make OpenCTI request internal services and cloud metadata endpoints. Returned connection errors could distinguish open HTTP ports, open non-HTTP ports, and closed ports, enabling internal network scanning, while compatible endpoint responses could disclose internal data. This issue is fixed in version 7.260701.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS