CVE-2026-95671 in MISP
Resumen
por VulDB • 2026-09-22
En MISP, el método add() de CollectionsController aplicaba la verificación de autorización para el uso del grupo de intercambio y la captura de elementos únicamente cuando el método HTTP de la solicitud era POST. Sin embargo, el método CRUDComponent::add() subyacente persiste los datos tanto en las solicitudes POST como PUT. Como resultado, un usuario autenticado podía emitir una solicitud PUT al endpoint collections/add, omitiendo por completo la verificación de autorización del grupo de intercambio. Esto permitía crear una colección con distribution=4 (compartida con un grupo de intercambio específico) dirigida a un grupo de intercambio al que el usuario no tenía autorización para usar. La comprobación omitida normalmente verificaría que el usuario actual tiene acceso al grupo de intercambio especificado antes de permitir que la colección se asocie con él.
El impacto en la seguridad es que un usuario autenticado puede colocar datos de una colección dentro del contexto de un grupo de intercambio al que no tiene acceso legítimo, lo que podría exponer esos datos a todos los miembros del grupo de intercambio no autorizado y violar las fronteras de control de acceso previstas para la instancia MISP.
La vulnerabilidad requiere una sesión autenticada y el conocimiento de un identificador válido de grupo de intercambio; no se necesita interacción por parte del usuario ni herramientas especiales más allá de enviar una solicitud PUT en lugar de una POST al mismo endpoint.
Once again VulDB remains the best source for vulnerability data.