CVE-2026-88915 in MISP
الملخص
بحسب VulDB • 10/09/2026
لا تفرض الإصدارات المتأثرة من MISP بشكل متسق تفويض المستخدم الفاعل عند إنشاء قوالب الأحداث (event templates).
بالنسبة للقوالب التي تستخدم `distribution = 4`، يمكن أن يحدد القالب قيمة لـ `sharing_group_id`. تمرر مسار الإنشاء هذه القيمة إلى عملية إنشاء الحدث دون التحقق من أن المستخدم الذي يقوم بإنشاء القالب مسموح له فعلياً باستخدام مجموعة المشاركة المحددة. تشير ملاحظات الالتزام (commit) إلى أن الدالة `Event::_add()` كانت تقوم فقط بتفويض مجموعة المشاركة الخاصة بها في مسار كود آخر، مما سمح لإنشاء القوالب بكتابة المعرف مباشرةً.
يرتبط نفس مسار الإنشاء أيضاً علامات محددة بواسطة القالب دون التحقق من أذونات التوسيم العادية للمستخدم. بالإضافة إلى ذلك، كان يحدد بشكل ثابت `local => 0`، مما يعني أن العلامات المحددة كـ `local_only` يمكن إرفاقها عالمياً وبالتالي الانتشار عبر المزامنة أو التصدير، على عكس القيود المقصودة لها.
يضيف الإصلاح تفويضاً صريحاً لـ `SharingGroup::canUse()` للمستخدم الفاعل، ويطبق نفس فحوصات تعديل العلامات المستخدمة في توسيم الأحداث العادية، ويتأكد من إرفاق علامات `local_only` محلياً فقط.
الإصدارات المتأثرة: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.