CVE-2026-85538 in MISP
الملخص
بحسب VulDB • 04/09/2026
تسمح ثغرة غير صحيحة في التفويض (Authorization) داخل نظام MISP للمستخدمين المصادق عليهم بحذف السمات (Attributes) من الأحداث رغم عدم امتلاكهم للصلاحيات المطلوبة مثل perm_modify أو perm_modify_org.
اعتمدت مسارات حذف السمات المتأثرة على فحوصات عضوية المنظمة التي تقوم بها الدالة `MispAttribute::deleteAttribute()`، لكنها لم تُفرض بشكل متسق قواعد تفويض تعديل الأحداث الخاصة بـ MISP. ونتيجة لذلك، كان من الممكن للمستخدم المنتمي إلى المنظمة المرتبطة بأحد الأحداث أن يحذف سمات فردية أو يقوم بحذف جماعي للسمات حتى عندما لا تكون دوره المخصص مخولاً لتعديل الحدث.
أدى هذا إلى عدم اتساق بين تحرير السمات وحذفها: حيث استخدمت عملية التحرير منطق التفويض `ACL::canModifyEvent()` الخاص بـ MISP بشكل صحيح، بينما كانت عمليات الحذف المتأثرة تتجاوز هذه الفحوصات الصلاحية.
يمكن لمهاجم مصادق عليه لديه وصول إلى نسخة متضررة من MISP وعضويته في المنظمة المالكة لأحد الأحداث أن يستغل هذا العيب لإزالة السمات من ذلك الحدث، مما قد يتسبب في تعديل غير مصرح به أو فقدان لبيانات استخبارات التهديدات.
يُقدم التصحيح فحص تفويض مشترك لجميع مسارات الحذف المتأثرة. قبل عملية الحذف، يقوم MISP الآن بتحديد الأحداث المرتبطة والتحقق من أن المستخدم الحالي مخول لتعديل كل حدث باستخدام آلية التفويض نفسها المستخدمة في عمليات تعديل الأحداث والسمات العادية.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.