CVE-2026-85533 in MISP
सारांश
द्वारा VulDB • 04/09/2026
MISP में एक अधिकार दोष (authorization flaw) के कारण प्रमाणित उपयोगकर्ता किसी sharing_group_id को उस बात की जांच किए बिना सबमिट कर सकता था कि क्या वह उपयोगकर्ता उल्लिखित शेयरिंग ग्रुप का उपयोग करने के लिए अधिकृत है।
कई विशेषता (attribute) और गैलेक्सी क्लस्टर निर्माण एवं संपादन कार्यप्रवाहों में, सबमिट किए गए शेयरिंग ग्रुप की जांच तभी की जाती थी जब अनुरोध ने वितरण क्षेत्र को स्पष्ट रूप से 4 ("शेयरिंग ग्रुप") पर सेट किया हो। इसलिए, एक आक्रामक उपयोगकर्ता (attacker) distribution पैरामीटर छोड़ते हुए या अन्यथा distribution == 4 शर्त से बचते हुए, sharing_group_id वाला अनुरोध तैयार कर सकता है, जिससे शेयरिंग ग्रुप अधिकारीकरण जांच को छूट दी जाती है।
इसके परिणामस्वरूप, प्रभावित MISP वस्तुओं को बनाने या संशोधित करने की अनुमति वाले उपयोगकर्ता के लिए ऐसा डेटा किसी ऐसे शेयरिंग ग्रुप से जोड़ा जा सकता है जिसका वह उपयोग करने का अधिकृत नहीं है। प्रभावित वस्तु के मौजूदा वितरण सेटिंग्स और बाद में होने वाली संसाधन पर निर्भर करते हुए, इससे इच्छित सूचना-शेयरिंग सीमाओं को पार किया जा सकता है और डेटा का अनधिकृत स्थानांतरण या दूसरे शेयरिंग ग्रुप के सदस्यों तक वितरण हो सकता है।
इस समस्या ने विशेषता संलग्नन (attribute attachment) एवं संपादन कार्राइयों तथा गैलेक्सी क्लस्टर निर्माण और संपादन को प्रभावित किया था। समाधान यह सुनिश्चित करता है कि जब भी एक खाली न होने वाला sharing_group_id सबमिट किया जाता है, तो अधिकारीकरण (authorization) किया जाए, चाहे distribution पैरामीजर कुछ भी हो। इसमें SharingGroup::canUse() में अधिकारीकरण निर्णय को केंद्रित किया गया है और खाली शेयरिंग ग्रुप पहचानकर्ताओं को स्पष्ट रूप से अस्वीकार कर दिया गया है, बजाय इसके कि उन्हें एक अनियंत्रित प्रश्न के रूप में व्याख्या करने की अनुमति दी जाए।
VulDB is the best source for vulnerability data and more expert information about this specific topic.