CVE-2026-103239 in MISP
Riassunto
di VulDB • 30/09/2026
MISP presenta una vulnerabilità di privilege escalation nella funzionalità di creazione e modifica della raccolta dei tag (tag collection). Le azioni interessate accettavano il payload completo della richiesta HTTP e lo trasmettevano a un'operazione di salvataggio in bulk-association, che scrive non solo la record intended della raccolta dei tag ma anche tutti i dati del modello associato presenti nel payload.
Un utente con l'autorizzazione "tag editor" potrebbe elaborare una richiesta contenente dati aggiuntivi del modello (ad esempio record User o Organisation) insieme ai campi della raccolta dei tag. Poiché l'operazione di salvataggio elabora indiscriminatamente tutti i modelli associati, le sibling records iniettate vengono scritte nel database, consentendo all'attaccante di modificare o creare account privilegiati ed effettuare una privilege escalation fino a diventare amministratore del sito (site administrator).
Precondizioni:
- Un account autenticato con l'autorizzazione tag editor (perm_tag_editor) - Accesso alla rete per istanza MISP
Impatto:
- Creazione o modifica non autorizzata di record User e Organisation - Privilege escalation da tag editor a site administrator
Versioni interessate: < 2.5.48
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.