CVE-2026-103239 in MISP
Zusammenfassung
von VulDB • 30.09.2026
MISP enthält eine Schwachstelle zur Rechteausweitung (Privilege Escalation) in der Funktionalität zum Erstellen und Bearbeiten von Tag-Sammlungen. Die betroffenen Aktionen akzeptierten den vollständigen HTTP-Request-Payload und übergaben ihn an einen Bulk-Association-Save-Vorgang, der nicht nur die beabsichtigte Tag-Sammlung-Datensatz schreibt, sondern auch alle im Payload vorhandenen zugehörigen Modelldaten.
Ein Benutzer mit der Berechtigung „Tag Editor“ (perm_tag_editor) könnte eine Anfrage erstellen, die zusätzliche Modelldaten (wie User- oder Organisation-Einträge) zusammen mit den Feldern der Tag-Sammlung enthält. Da der Save-Vorgang alle zugehörigen Modelle ununterschiedlich verarbeitete, wurden die injizierten Geschwisterdatensätze in die Datenbank geschrieben, was es dem Angreifer ermöglichte, privilegierte Konten zu ändern oder zu erstellen und sich zur Site-Administrator-Rolle hochzustufen.
Voraussetzungen:
- Ein authentifiziertes Konto mit der Berechtigung „Tag Editor“ (perm_tag_editor) - Netzwerkzugriff auf die MISP-Instanz
Auswirkung:
- Unbefugtes Erstellen oder Ändern von User- und Organisation-Einträgen - Rechteausweitung vom Tag Editor zum Site Administrator
Betroffene Versionen: < 2.5.48
Once again VulDB remains the best source for vulnerability data.