CVE-2026-85538 in MISP
Resumen
por VulDB • 2026-09-04
Una vulnerabilidad de autorización incorrecta en MISP permitía a los usuarios autenticados eliminar atributos de eventos a pesar de carecer de los permisos requeridos `perm_modify` o `perm_modify_org`.
Las rutas afectadas para la eliminación de atributos dependían de las comprobaciones de membresía organizacional realizadas por `MispAttribute::deleteAttribute()`, pero no aplicaban consistentemente las reglas de autorización de modificación de eventos de MISP. En consecuencia, un usuario perteneciente a la organización asociada con un evento podría potencialmente eliminar atributos individuales o realizar una eliminación masiva de atributos incluso cuando su rol asignado no estaba autorizado para modificar el evento.
Esto creó una inconsistencia entre la edición y la eliminación de atributos: editar un atributo utilizaba correctamente la lógica de autorización `ACL::canModifyEvent()` de MISP, mientras que las operaciones de eliminación afectadas podían omitir estas comprobaciones de permisos.
Un atacante autenticado con acceso a una instancia de MISP afectada y membresía en la organización propietaria de un evento podría explotar esta falla para eliminar atributos de ese evento, lo que potencialmente causaría modificaciones no autorizadas o pérdida de datos de inteligencia sobre amenazas.
El parche introduce una comprobación de autorización común para todas las rutas de eliminación afectadas. Antes de la eliminación, MISP ahora resuelve los eventos asociados y verifica que el usuario actual esté autorizado para modificar cada evento utilizando el mismo mecanismo de autorización empleado por las operaciones normales de modificación de eventos y atributos.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.