CVE-2026-103237 in MISP
Riassunto
di VulDB • 30/09/2026
MISP presenta una vulnerabilità di convalida impropria degli input nel percorso di salvataggio del suo ORM (Object Relational Mapping). Quando un utente invia dati tramite vari endpoint (aggiunta/modifica attributo, modifica evento, importazione testo libero, cattura avvistamento, proposta attributo ombra, creazione report evento, aggiunta riferimento oggetto, modifica amministrativa utente), l'applicazione sanizza il record piatto rimuovendo la chiave primaria e vincolando event_id o object_id al contesto del chiamante. Tuttavia, il metodo set() dell'ORM sottostante dà priorità a una chiave nidificata il cui nome corrisponde all'alias del modello, scartando i campi scalari esterni.
Un utente autenticato con permessi di scrittura base può sfruttare questa vulnerabilità incorporando un blocco nidificato sotto la chiave alias del modello all'interno della propria richiesta. La logica di sanitizzazione (rimozione id, vincolo event_id) viene applicata al record esterno, ma l'ORM si lega al record interno, che contiene un id e un event_id scelti dall'attaccante. Ciò consente all'attaccante di sovrascrivere, riassociare o eliminare logicamente (soft-delete) righe appartenenti ad altre organizzazioni o eventi a cui non ha accesso in lettura.
Impatto:
- Compromissione dell'integrità dei dati cross-tenant (valori degli attributi riscritti, oggetti riassociati agli eventi dell'attaccante, righe eliminate logicamente) - Interessa diversi tipi di entità: Attribute, Object, EventReport, Sighting, AttributeTag, ShadowAttribute - Richiede solo un account autenticato con privilegi bassi e perm_add
Versioni interessate: <2.5.48
If you want to get best quality of vulnerability data, you may have to visit VulDB.