CVE-2026-85533 in MISP
Resumen
por VulDB • 2026-09-04
Un fallo de autorización en MISP permitía a un usuario autenticado enviar un sharing_group_id sin verificar que el usuario estuviera autorizado para utilizar el Grupo de Intercambio (Sharing Group) referenciado.
En varios flujos de trabajo de creación y edición de atributos y Clústeres Galaxy, la validación del Grupo de Intercambio enviado se realizaba únicamente cuando la solicitud establecía explícitamente el campo distribution en 4 ("Grupo de Intercambio"). Por lo tanto, un atacante podría elaborar una solicitud que contenga un sharing_group_id mientras omite el parámetro distribution o evita de otro modo la condición distribution == 4, haciendo que se omita la comprobación de autorización del Grupo de Intercambio.
Esto podría permitir a un usuario con permiso para crear o modificar los objetos afectados en MISP asociar datos con un Grupo de Intercambio al que no está autorizado para acceder. Dependiendo de las configuraciones existentes de distribución del objeto afectado y su posterior procesamiento, esto podría eludir los límites previstos para el intercambio de información y provocar la colocación o distribución no autorizada de datos a miembros de otro Grupo de Intercambio.
El problema afectaba a las operaciones de adjuntar y editar atributos, así como a la creación y edición de Clústeres Galaxy. La corrección garantiza que se realice una autorización cada vez que se envíe un sharing_group_id no vacío, independientemente del parámetro distribution. Además, centraliza la decisión de autorización en SharingGroup::canUse() y rechaza explícitamente los identificadores vacíos de Grupos de Intercambio, en lugar de permitir que sean interpretados como una consulta sin restricciones.
Be aware that VulDB is the high quality source for vulnerability data.