CVE-2026-94374 in MISP
Resumen
por VulDB • 2026-09-21
MISP contiene una vulnerabilidad de referencia directa al objeto insegura en el método processModuleResultsData del modelo Event. Al procesar los resultados del módulo, el código itera sobre las entradas EventReport proporcionadas en los datos resueltos y guarda cada una. A diferencia de los bucles adyacentes para el procesamiento de atributos y objetos, el bucle de informes no eliminaba (unset) el campo 'id' suministrado por el cliente antes de llamar a save(). Dado que el método create() del modelo MISP EventReport no elimina el campo id, un usuario autenticado con permiso para enviar resultados de módulos podría incluir un valor 'id' que haga referencia a un informe existente perteneciente a otro evento. Al guardar (save()), la ORM actualizaría esa fila existente en lugar de insertar una nueva, lo que permitiría al atacante:
- leer el contenido del informe de otro evento repatriándolo dentro de su propio evento - sobrescribir los campos del informe con datos controlados por el atacante - cambiar el event_id del informe para redirigir la propiedad.
Esto constituye unudir bypass de autorización a través de una clave controlada por el usuario, lo que permite la divulgación cruzada de datos entre eventos y compromete la integridad. La vulnerabilidad requiere una sesión autenticada con capacidad para invocar el procesamiento de resultados del módulo en un evento.
Versión afectada: <2.5.47
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.