CVE-2026-77751

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2026-77751
A path traversal vulnerability existed in the handling of MISP object template names during STIX 2 import and MISP-to-STIX 2 export. MISP object names are passed to PyMISP's object-template resolution mechanism, which constructs a filesystem path by joining the configured MISP object-template directory, the object name, and definition.json. An object name originating from untrusted STIX or MISP content was not sufficiently restricted before being used in this filesystem path. An attacker able to supply a crafted object name containing path separators or traversal sequences such as ../ could therefore cause template resolution to escape the expected template directory and attempt to load a definition.json file from another location accessible to the process. During STIX 2 import, an attacker-controlled x_misp_name from a custom STIX object could directly reach this template-resolution mechanism. The issue could also become persistent. A malicious object name stored in a MISP event could later be processed again during STIX 2 export. Consequently, content originally introduced in one security context could trigger filesystem access later when the event is exported by a process operating with different or greater privileges. If a suitable definition.json file exists outside the intended template directory, its contents may be interpreted as a MISP object template and fields from that file copied into the converted object. This can result in unintended disclosure of locally accessible data represented by the template file and modification of the resulting object's metadata or semantics. The patches introduce strict validation of object-template names. Valid names are restricted to a single path component containing letters, digits, hyphens, or underscores. Names that do not meet these requirements are replaced with the generic unknown-template name before reaching PyMISP template resolution. The original rejected name is preserved in the object's comment and a warning is generated, preventing traversal while retaining the source information.
CVSS

No CVSS.

References
Link Resource
https://github.com/MISP/misp-stix/commit/a0f54070
https://github.com/MISP/misp-stix/commit/a8b6808d
Configurations

No configuration.

History

16 Oct 2026, 13:10

Type Values Removed Values Added
Summary
  • (es) Una vulnerabilidad de salto de ruta existía en el manejo de los nombres de las plantillas de objetos MISP durante la importación de STIX 2 y la exportación de MISP a STIX 2. Los nombres de objetos MISP se pasan al mecanismo de resolución de plantillas de objetos de PyMISP, el cual construye una ruta del sistema de archivos uniendo el directorio configurado de plantillas de objetos MISP, el nombre del objeto y definition.json. Un nombre de objeto originado de contenido STIX o MISP no confiable no estaba suficientemente restringido antes de ser usado en esta ruta del sistema de archivos. Un atacante capaz de proporcionar un nombre de objeto manipulado que contenga separadores de ruta o secuencias de salto de ruta como ../ podría por lo tanto causar que la resolución de la plantilla escape del directorio de plantillas esperado e intente cargar un archivo definition.json desde otra ubicación accesible para el proceso. Durante la importación de STIX 2, un x_misp_name controlado por el atacante de un objeto STIX personalizado podría alcanzar directamente este mecanismo de resolución de plantillas. El problema también podría volverse persistente. Un nombre de objeto malicioso almacenado en un evento MISP podría ser procesado de nuevo más tarde durante la exportación de STIX 2. En consecuencia, el contenido introducido originalmente en un contexto de seguridad podría desencadenar acceso al sistema de archivos más tarde cuando el evento es exportado por un proceso que opera con privilegios diferentes o mayores. Si existe un archivo definition.json adecuado fuera del directorio de plantillas previsto, su contenido puede ser interpretado como una plantilla de objeto MISP y los campos de ese archivo copiados en el objeto convertido. Esto puede resultar en la divulgación no intencionada de datos accesibles localmente representados por el archivo de plantilla y la modificación de los metadatos o la semántica del objeto resultante. Los parches introducen una validación estricta de los nombres de las plantillas de objetos. Los nombres válidos están restringidos a un único componente de ruta que contenga letras, dígitos, guiones o guiones bajos. Los nombres que no cumplen estos requisitos se reemplazan con el nombre genérico unknown-template antes de llegar a la resolución de plantillas de PyMISP. El nombre original rechazado se conserva en el comentario del objeto y se genera una advertencia, lo que evita el salto de ruta mientras se retiene la información de origen.
Information

Published : 2026-08-21 10:16

Updated : 2026-10-16 15:10

NVD link : CVE-2026-77751

Mitre link : CVE-2026-77751

CVE.ORG link : CVE-2026-77751

JSON object : View

Products Affected

No product.

CWE
CWE-22

Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')