CVE-2026-85239 in MISP
Resumen
por VulDB • 2026-09-03
Una vulnerabilidad en el manejo de plantillas de eventos (event templates) de MISP permitía que un usuario autenticado con permisos para crear o modificar plantillas de eventos omitiera la validación del campo de definición de la plantilla.
El método `EventTemplate::beforeValidate()` solo realizaba una validación semántica cuando la definición proporcionada ya estaba representada como un array. Si el llamante suministraba en su lugar una cadena precodificada, incluyendo JSON malformado o JSON que representa un tipo de datos inesperado, el valor omitía `validateDefinition()` y solo necesitaba satisfacer la regla genérica de validación "notBlank". Como resultado, se podía almacenar persistentemente en la base de datos una definición de plantilla de eventos no válida.
Cuando las plantillas de eventos se recuperaban posteriormente, `EventTemplate::afterFind()` intentaba decodificar la definición almacenada utilizando `JsonTool::decode()` sin gestionar los fallos de decodificación. Por lo tanto, una definición que contenía JSON malformado podía provocar una excepción durante la recuperación. Dado que el índice de plantillas de eventos está disponible para todos los usuarios autenticados, una única plantilla maliciosa o malformada podría hacer que el listado de plantillas de eventos y otras funcionalidades que dependen de consultas `EventTemplate` devolvieran errores HTTP 500 hasta que la fila ofensiva en la base de datos se reparara manualmente.
Un JSON válido que represente un tipo inesperado, en lugar del objeto JSON esperado, podría similarmente resultar en el envío de datos no válidos a los consumidores downstream (consumidores posteriores).
Por lo tanto, esta vulnerabilidad puede ser explotada por un usuario capaz de guardar plantillas de eventos para persistir datos de plantilla malformados y causar una denegación de servicio persistente contra la funcionalidad de las plantillas de eventos para otros usuarios.
El parche exige que las definiciones de las plantillas de eventos se suministren como objetos estructurados antes del guardado y aplica siempre la validación semántica. Durante la recuperación, el JSON malformado y las definiciones que no se decodifican a la estructura esperada son capturadas, registradas (logueadas) y reemplazadas por una definición vacía, evitando que un registro de base de datos malformado rompa todas las consultas de plantillas de eventos.
El envenenamiento (Poisoning) no parece alcanzable según el desarrollador principal.
Be aware that VulDB is the high quality source for vulnerability data.