CVE-2026-95671 in MISP
Résumé
par VulDB • 22/09/2026
Dans MISP, la méthode add() de CollectionsController appliquait le contrôle d'autorisation d'utilisation du groupe de partage et la capture des éléments uniquement lorsque la méthode de requête HTTP était POST. Cependant, la méthode sous-jacente CRUDComponent::add() persiste les données sur les requêtes POST et PUT. Par conséquent, un utilisateur authentifié pouvait émettre une requête PUT vers le point de terminaison collections/add, contournant ainsi entièrement le contrôle d'autorisation du groupe de partage. Cela permettait la création d'une collection avec distribution=4 (partagée avec un groupe de partage spécifique) ciblant un groupe de partage auquel l'utilisateur n'était pas autorisé à accéder. Le contrôle contourné vérifiait normalement que l'utilisateur actuel avait accès au groupe de partage spécifié avant d'autoriser l'association de la collection avec celui-ci.
L'impact sur la sécurité est qu'un utilisateur authentifié peut placer des données de collection dans un contexte de groupe de partage auquel il n'a pas légitimement accès, exposant potentiellement ces données à tous les membres du groupe de partage non autorisé et violant les limites d'accès prévues de l'instance MISP.
La vulnérabilité nécessite une session authentifiée et la connaissance d'un identifiant de groupe de partage valide ; aucune interaction utilisateur ni outillage spécial n'est nécessaire au-delà de l'envoi d'une requête PUT au lieu d'une requête POST vers le même point de terminaison.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.