CVE-2026-76821
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
OpenCTI przed wersją 7.260706.0 zawiera podatność w funkcji extractWithRegexp w mapperze JSON, która kompiluje wyrażenia regularne dostarczone przez użytkownika bez walidacji ich złożoności. Uwierzytelniony użytkownik z uprawnieniami do tworzenia mapperów JSON może dostarczyć wzorzec powodujący katastrofalne cofanie się, blokując pętlę zdarzeń Node.js i czyniąc API GraphQL niedostępnym dla wszystkich użytkowników. Zaplanowane przetwarzanie może wielokrotnie uruchamiać złośliwy mapper bez dodatkowego działania atakującego.
Ocena ryzyka
Ryzyko polega na długotrwałej niedostępności platformy OpenCTI dla wszystkich użytkowników, co może zakłócić operacje związane z zarządzaniem informacjami o zagrożeniach. Atak nie ujawnia ani nie modyfikuje danych, ale wpływa na dostępność.
Rekomendacja
Zaleca się natychmiastową aktualizację OpenCTI do wersji 7.260706.0 lub nowszej oraz ograniczenie uprawnień do tworzenia mapperów JSON tylko dla zaufanych użytkowników.
Inne podatności w OpenCTI
Zobacz wszystkie- CVE-2025-61781Wysokie
OpenCTI przed wersją 6.8.1 zawiera podatność w mutacji GraphQL WorkspacePopoverDeletionMutation, która pozwala na usunięcie obiektów workspace (np. dashboardów, przypadków dochodzeń) bez odpowiedniej autoryzacji. Atakujący może podać UUID innego użytkownika i usunąć cały jego workspace, ponieważ API nie weryfikuje własności zasobu.
- CVE-2026-27960Krytyczne
W OpenCTI, w wersjach od 6.6.0 do 6.9.12, występuje podatność na eskalację uprawnień, która może być wykorzystana przez nieautoryzowanych atakujących do zapytań do API jako dowolny istniejący użytkownik, w tym domyślne konto administratora.
- CVE-2026-76820Wysokie
OpenCTI przed wersją 7.260701.0 zawiera podatność w zapytaniu GraphQL synchronizerFetch, które wywołuje fetchRemoteStreams po sprawdzeniu tylko, czy adres URL zdalnego strumienia używa HTTP lub HTTPS. Backend nie stosuje listy blokad dla przychodzących danych ani nie odrzuca adresów prywatnych, pętli zwrotnej i link-local, co pozwala uwierzytelnionemu kontu z uprawnieniem INGESTION na zmuszenie OpenCTI do żądania usług wewnętrznych i punktów końcowych metadanych chmury. Błędy połączenia mogą umożliwić skanowanie sieci wewnętrznej, a odpowiedzi z kompatybilnych punktów mogą ujawnić wewnętrzne dane.
- CVE-2026-35211Średnie
OpenCTI GraphQL API udostępnia operator filtru skryptów w wyliczeniu FilterOperator, który pozwala uwierzytelnionym użytkownikom z uprawnieniem KNOWLEDGE na przekazywanie niesprawdzonych skryptów Elasticsearch Painless do zapytań wyszukiwania. Może to prowadzić do przeciążenia zasobów CPU klastra i odmowy usługi dla wszystkich użytkowników.
- CVE-2026-35210Wysokie
W OpenCTI przed wersją 7.260326.0 wykryto podatność polegającą na obejściu autoryzacji. Uwierzytelniony użytkownik z uprawnieniem KNOWLEDGE_KNUPDATE może ominąć walidację poziomu zaufania i ograniczenia dotyczące oznaczeń obiektów, wstrzykując nagłówek HTTP synchronized-upsert: true. Pozwala to na obniżenie poziomów zaufania, usunięcie oznaczeń bezpieczeństwa (np. TLP:RED) oraz manipulację relacjami i obiektami STIX.
- CVE-2026-35212Średnie
OpenCTI w wersjach przed 7.260227.0 jest podatny na XSS podczas renderowania danych treści wiadomości e-mail w obserwowalnym typie. Zawartość pola body nie jest odpowiednio sanityzowana podczas renderowania. Wymaga interakcji użytkownika, ale może być wykorzystana przez osobę udostępniającą STIX lub dowolnego ingestera.
- CVE-2026-44730Wysokie
OpenCTI to platforma open source do zarządzania wiedzą o zagrożeniach cybernetycznych i obserwacjach. Przed wersją 6.9.7, administrator organizacji może eskalować swoje uprawnienia, dodając użytkownika z innej organizacji o wyższych uprawnieniach do własnej organizacji. Wynika to z nieprawidłowej kontroli ACL na userEdit relationAdd. Podatność naprawiona w wersji 6.9.7.
Oryginalny opis (angielski, źródło NVD)
OpenCTI is an open source platform for managing cyber threat intelligence knowledge and observables. Prior to 7.260706.0, the JSON ingestion mapper's extractWithRegexp formula function compiled a user-supplied regular expression with the JavaScript RegExp engine in opencti-platform/opencti-graphql/src/parser/json-mapper.ts without validating its complexity. An authenticated user with JSON mapper creation permission could provide a catastrophically backtracking pattern and matching ingestion input, blocking the Node.js event loop and making the GraphQL API unavailable to all users. Scheduled ingestion could repeatedly execute the malicious mapper without additional attacker action, and recovery could require disabling the mapper and restarting the process. The issue affects availability and does not expose or modify data. This issue is fixed in version 7.260706.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS