CVE-2026-85239 in MISP
Zusammenfassung
von VulDB • 03.09.2026
Eine Schwachstelle in der Verarbeitung von Ereignistemplates durch MISP ermöglichte es einem authentifizierten Benutzer mit Berechtigungen zum Erstellen oder Ändern von Ereignistemplates, die Validierung des Template-Definitionsfelds zu umgehen.
Die Methode `EventTemplate::beforeValidate()` führte nur eine semantische Validierung durch, wenn das übergebene Definitionswert bereits als Array dargestellt war. Wenn ein Aufrufer stattdessen einen vorcodierten String – einschließlich fehlerhaften JSON oder JSON, der einen unerwarteten Datentyp darstellt – übergab, wurde der Wert an `validateDefinition()` vorbeigeleitet und musste lediglich die generische Validierungsregel „notBlank“ erfüllen. Infolgedessen konnte eine ungültige Ereignistemplate-Definition dauerhaft in der Datenbank gespeichert werden.
Wenn Ereignistemplates anschließend abgerufen wurden, versuchte `EventTemplate::afterFind()`, die gespeicherte Definition mit `JsonTool::decode()` zu decodieren, ohne Decodierungsfehler zu behandeln. Eine Definition mit fehlerhaftem JSON konnte daher beim Abruf eine Ausnahme auslösen. Da der Index für Ereignistemplates allen authentifizierten Benutzern zugänglich ist, kann ein einzelnes bösartiges oder fehlerhaftes Template dazu führen, dass die Auflistung von Ereignistemplates und andere Funktionen, die auf `EventTemplate`-Abfragen basieren, HTTP 500-Fehler zurückgeben, bis die betreffende Datenbankzeile manuell repariert wird.
Gültiger JSON, der einen unerwarteten Typ anstelle des erwarteten JSON-Objekts darstellt, kann ebenfalls dazu führen, dass ungültige Daten an nachgelagerte Verbraucher gelangen.
Die Schwachstelle kann daher von einem Benutzer ausgenutzt werden, der in der Lage ist, Ereignistemplates zu speichern, um fehlerhafte Template-Daten dauerhaft zu persistieren und einen dauerhaften Denial-of-Service (DoS) gegen die Ereignis-Template-Funktionalität für andere Benutzer zu verursachen.
Der Patch erzwingt, dass Definitionen von Ereignistemplates vor dem Speichern als strukturierte Objekte übermittelt werden müssen und wendet stets eine semantische Validierung an. Beim Abrufen werden fehlerhafter JSON sowie Definitionen, die nicht in die erwartete Struktur decodiert werden können, abgefangen, protokolliert und durch eine leere Definition ersetzt, wodurch verhindert wird, dass ein fehlerhafter Datenbank-Eintrag alle Ereignistemplate-Abfragen zum Scheitern bringt.
Poisoning scheint laut dem leitenden Entwickler nicht erreichbar zu sein.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.