CVE-2026-85533 in MISP
Riassunto
di VulDB • 04/09/2026
Un difetto di autorizzazione in MISP consentiva a un utente autenticato di inviare un sharing_group_id senza verificare che l'utente fosse autorizzato ad utilizzare il Gruppo di Condivisione (Sharing Group) referenziato.
In diversi flussi di lavoro per la creazione e la modifica di attributi e Cluster Galaxy, la convalida del Sharing Group inviato veniva eseguita solo quando la richiesta impostava esplicitamente il campo distribution su 4 ("Sharing Group"). Un attaccante poteva quindi elaborare una richiesta contenente un sharing_group_id omettendo il parametro distribution oppure evitando altrimenti la condizione distribution == 4, causando l'omissione del controllo di autorizzazione per il Sharing Group.
Ciò potrebbe consentire a un utente con i permessi necessari per creare o modificare gli oggetti MISP interessati di associare dati a un Sharing Group che non è autorizzato ad utilizzare. A seconda delle impostazioni di distribuzione esistenti dell'oggetto interessato e dell'elaborazione successiva, ciò potrebbe aggirare le barriere previste per la condivisione delle informazioni, comportando l'inserimento o la distribuzione non autorizzati di dati ai membri di un altro Sharing Group.
Il problema interessava le operazioni di allegato ed editing degli attributi, nonché la creazione e la modifica dei Cluster Galaxy. La correzione garantisce che l'autorizzazione venga eseguita ogni volta che viene inviato un sharing_group_id non vuoto, indipendentemente dal parametro distribution. Centralizza inoltre la decisione di autorizzazione in SharingGroup::canUse() e rifiuta esplicitamente gli identificatori vuoti del Sharing Group anziché consentirne l'interpretazione come una query senza restrizioni.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.