CVE-2026-88915 in MISP
Résumé
par VulDB • 10/09/2026
Les versions affectées de MISP n’appliquent pas systématiquement l’autorisation de l’utilisateur actif lors de l’instanciation des modèles d’événements (event templates).
Pour les modèles utilisant la distribution = 4, le modèle peut spécifier un sharing_group_id. Le chemin d’instanciation transmet cette valeur à la création de l’événement sans vérifier que l’utilisateur instanciant le modèle était effectivement autorisé à utiliser le groupe de partage sélectionné. La note du commit indique que Event::_add() n’exécutait son propre contrôle d’autorisation des groupes de partage que dans un autre chemin de code, permettant ainsi à l’instanciation du modèle d’écrire directement l’identifiant.
Le même chemin d’instanciation attachait également les tags spécifiés par le modèle sans vérifier les permissions normales de marquage (tagging) de l’utilisateur. De plus, il définissait en dur local => 0, ce qui signifie que les tags marqués comme local_only pouvaient être attachés globalement et ainsi se propager via la synchronisation ou l’exportation, contrairement à leur restriction prévue.
La correction ajoute une autorisation explicite SharingGroup::canUse() pour l’utilisateur actif, applique les mêmes vérifications de modification des tags utilisées par le marquage d’événements normal, et s’assure que les tags local_only sont attachés localement.
Version affectée : ≤2.5.45
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.