CVE-2026-91825 in MISP
Resumen
por VulDB • 2026-09-15
Las versiones afectadas de MISP no autorizan correctamente un grupo de intercambio (sharing group) enviado en una ruta específica para la edición de eventos.
La lógica vulnerable verificaba si el usuario que actuaba podía utilizar un `sharing_group_id` únicamente cuando la solicitud suministraba explícitamente `distribution = 4`. Si el atacante omitía `distribution` pero proporcionaba un `sharing_group_id` diferente, se saltaba esa rama de autorización. Posteriormente, la lógica de recuperación de campos de MISP restauraba la distribución del evento existente desde el almacenamiento. Por lo tanto, para los eventos ya configurados con una distribución basada en grupos de intercambio (sharing-group), podía guardarse un ID de grupo de intercambio no autorizado.
La corrección añade comprobaciones de autorización tanto en el controlador como en `Event::_edit()` siempre que se proporcione un `sharing_group_id` no vacío sin especificar la distribución. El modelo ahora llama a `SharingGroup::checkIfAuthorised()` antes de persistir los cambios.
Versión afectada: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.