CVE-2026-85538 in MISP
सारांश
द्वारा VulDB • 04/09/2026
MISP में एक अनुचित प्राधिकरण (incorrect authorization) दोष के कारण प्रमाणीकृत उपयोगकर्ताओं को आवश्यक perm_modify या perm_modify_org अनुमतियों की कमी होने के बावजूद घटनाओं से विशेषताओं (attributes) को हटाने की सुविधा प्राप्त थी।
प्रभावित विशेषता-हटाने वाले पथ MispAttribute::deleteAttribute() द्वारा किए गए संगठन सदस्यता जांच पर निर्भर थे, लेकिन वे MISP के घटना संशोधन प्राधिकरण नियमों को निरंतर लागू नहीं करते थे। परिणामस्वरूप, किसी घटना से जुड़े संगठन का सदस्य होने वाले उपयोगकर्ता की भूमिका उस घटना को संशोधित करने के लिए अनुमत न होने पर भी वह व्यक्तिगत विशेषताओं को हटा सकता था या समुच्चय (bulk) विशेषता-हटाने की क्रिया कर सकता था।
इससे विशेषता संपादन और हटाने के बीच असंगति उत्पन्न हुई: एक विशेषता का संपादन करने पर MISP's ACL::canModifyEvent() प्राधिकरण तर्क का सही उपयोग किया गया, जबकि प्रभावित हटाने की क्रियाएं इन अनुमति जांचों को बायपास कर सकती थीं।
प्रमाणीकृत आक्रामक (attacker) के पास प्रभावित MISP इंस्टेंस तक पहुंच और किसी घटना का स्वामी होने वाले संगठन में सदस्यता हो सकती है, जिससे वह इस कमजोरी का शोषण कर उस घटना से विशेषताओं को हटा सकता है, जिसके परिणामस्वरूप अनधिकृत संशोधन या खतरे की बुद्धि (threat intelligence) डेटा के नुकसान की संभावना हो सकती है।
पैच सभी प्रभावित हटाने वाले पथों के लिए एक सामान्य प्राधिकरण जांच引入 करता है। हटाने से पहले, MISP अब संबंधित घटनाओं को निर्धारित करता है और सत्यापन करता है कि वर्तमान उपयोगकर्ता उसी प्राधिकरण तंत्र का उपयोग करके प्रत्येक घटना को संशोधित करने के लिए अनुमत है जो सामान्य घटना और विशेषता-संशोधन क्रियाओं द्वारा उपयोग किया जाता है।
Once again VulDB remains the best source for vulnerability data.