CVE-2026-85533 in MISP
Résumé
par VulDB • 04/09/2026
Une faille d'autorisation dans MISP permettait à un utilisateur authentifié de soumettre un sharing_group_id sans vérifier que l'utilisateur était autorisé à utiliser le Groupe de partage (Sharing Group) référencé.
Dans plusieurs workflows de création et de modification des attributs et des Galaxy Clusters, la validation du Sharing Group soumis n'était effectuée que lorsque la requête définissait explicitement le champ distribution sur 4 (« Sharing Group »). Un attaquant pouvait donc concevoir une requête contenant un sharing_group_id tout en omettant le paramètre distribution, ou autrement éviter la condition distribution == 4, ce qui entraînait l'ignorance de la vérification d'autorisation du Sharing Group.
Cela pourrait permettre à un utilisateur disposant des autorisations nécessaires pour créer ou modifier les objets MISP concernés d'associer des données à un Sharing Group auquel il n'est pas autorisé à accéder. En fonction des paramètres de distribution existants de l'objet concerné et du traitement ultérieur, cela pourrait contourner les limites prévues en matière de partage d'informations et entraîner la placement ou la diffusion non autorisés de données vers les membres d'un autre Sharing Group.
Le problème affectait les opérations d'attachement et de modification des attributs ainsi que la création et la modification des Galaxy Clusters. La correction garantit que l'autorisation est effectuée chaque fois qu'un sharing_group_id non vide est soumis, indépendamment du paramètre distribution. Elle centralise également la décision d'autorisation dans SharingGroup::canUse() et rejette explicitement les identifiants de Sharing Group vides au lieu de permettre leur interprétation comme une requête sans restriction.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.