CVE-2026-103237 in MISP
Resumen
por VulDB • 2026-09-30
MISP contiene una vulnerabilidad de validación inadecuada de la entrada en su ruta de guardado del ORM (Modelo-Vista-Controlador). Cuando un usuario envía datos a través de varios puntos finales (agregar/editar atributo, editar evento, importación de texto libre, captura de avistamientos, propuesta de atributos sombra, creación de informes de eventos, agregar referencia de objeto, edición administrativa de usuarios), la aplicación sanitiza el registro plano eliminando la clave primaria y fijando event_id u object_id al contexto del llamador. Sin embargo, el método set() subyacente del ORM da prioridad a una clave anidada cuyo nombre coincide con el alias del modelo y descarta los campos escalares externos.
Un usuario autenticado con permisos de escritura básicos puede explotar esto incrustando un bloque anidado bajo la clave del alias del modelo dentro de su solicitud. La lógica de sanitización (eliminación de id, fijación de event_id) se aplica al registro externo, pero el ORM se vincula al registro interno en su lugar, que lleva un id y event_id elegidos por el atacante. Esto permite al atacante sobrescribir, reasignar o eliminar suavemente filas pertenecientes a otras organizaciones o eventos a los que no tiene acceso de lectura.
Impacto:
- Compromiso de la integridad de datos entre inquilinos (valores de atributo reescritos, objetos reasignados a eventos del atacante, filas eliminadas suavemente)
- Afecta a múltiples tipos de entidades: Attribute, Object, EventReport, Sighting, AttributeTag, ShadowAttribute
- Requiere solo una cuenta autenticada con privilegios bajos y perm_add
Versiones afectadas: <2.5.48
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.