CVE-2026-39980

OpenCTI: Wykonanie dowolnego kodu JS przez niesanityzowane szablony EJS

CVSS 9.1v3.1pub. 2026-04-09upd. 2026-04-22

Podatność w platformie OpenCTI (przed wersją 6.9.5) umożliwia użytkownikom posiadającym uprawnienie 'Manage customization' wykonanie dowolnego kodu JavaScript w kontekście procesu platformy. Wynika z nieprawidłowej sanityzacji szablonów EJS w pliku safeEjs.ts.

▸ Pokaż oryginał (EN)

OpenCTI is an open source platform for managing cyber threat intelligence knowledge and observables. Prior to 6.9.5, the safeEjs.ts file does not properly sanitize EJS templates. Users with the Manage customization capability can run arbitrary JavaScript in the context of the OpenCTI platform process during notifier template execution. This vulnerability is fixed in 6.9.5.

🤖 Analiza AI

Jak działa

Plik safeEjs.ts odpowiedzialny za obsługę szablonów EJS nie przeprowadza właściwej walidacji i sanityzacji danych wejściowych (CWE-1336 — niewłaściwa neutralizacja specjalnych elementów w szablonach). Użytkownik z uprawnieniem do zarządzania customizacją może wstrzyknąć złośliwy kod JavaScript do szablonu notyfikatora. Przy wykonaniu takiego szablonu kod jest interpretowany i uruchamiany bezpośrednio w kontekście procesu aplikacji OpenCTI na serwerze.

Skutki

Atakujący może wykonać dowolny kod JavaScript po stronie serwera, co potencjalnie prowadzi do pełnego przejęcia kontroli nad instancją platformy, ujawnienia wrażliwych danych wywiadowczych oraz naruszenia integralności i dostępności systemu.

Mitygacja

Należy zaktualizować OpenCTI do wersji 6.9.5 lub nowszej, w której podatność została naprawiona. Szczegóły dostępne w oficjalnym wydaniu: https://github.com/OpenCTI-Platform/opencti/releases/tag/6.9.5

Kogo dotyczy

OpenCTI (Citeum) we wszystkich wersjach przed 6.9.5

Uwagi

Podatność wymaga posiadania uprawnienia 'Manage customization' — nie jest dostępna dla wszystkich użytkowników, co częściowo ogranicza powierzchnię ataku. Szczegóły opublikowano w ramach GitHub Security Advisory GHSA-jv9r-jw2f-rhrf.