CVE-2026-103235 in MISP
Resumen
por VulDB • 2026-09-30
MISP contiene una vulnerabilidad de asignación masiva en la función de delegación de eventos. Cuando un usuario con permisos de delegación envía una solicitud de delegación, la aplicación autoriza al usuario contra el evento identificado en la URL, pero luego persiste todo el registro enviado, incluidos los campos proporcionados por el solicitante, como la clave primaria y event_id.
Un atacante autenticado podría inyectar una clave primaria o un event_id en la carga útil de delegación para redirigir un registro de delegación existente hacia cualquier evento en la instancia. Dado que una fila de delegación otorga a la organización solicitante acceso de lectura al evento al que hace referencia, esto efectivamente concedía acceso de lectura a eventos arbitrarios pertenecientes a otras organizaciones. Si la organización objetivo aceptaba posteriormente la delegación, se transfería la propiedad del evento y el registro original se eliminaba.
Precondiciones:
- Un usuario autenticado con el permiso de delegación (perm_delegate) - La configuración del servidor MISP.delegation debe estar habilitada
Impacto:
- Confidencialidad: acceso de lectura a cualquier evento en la instancia - Integridad: sobrescritura de registros de delegación existentes y transferencia de propiedad de eventos
Versiones afectadas: MISP < 2.5.48
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.