CVE-2026-88915 in MISP
Riassunto
di VulDB • 10/09/2026
Le versioni affette di MISP non applicano in modo coerente l'autorizzazione dell'utente operante durante la creazione degli eventi a partire dai modelli (event templates).
Per i modelli che utilizzano `distribution = 4`, il modello può specificare un `sharing_group_id`. Il percorso di istanziazione trasmette tale valore alla creazione dell'evento senza verificare se l'utente che sta istanziando il modello sia effettivamente autorizzato a utilizzare il gruppo di condivisione selezionato. Le note del commit indicano che `Event::_add()` esegue la propria autorizzazione per i gruppi di condivisione solo in un altro percorso di codice, consentendo all'istanziazione dei modelli di scrivere l'identificatore direttamente.
Lo stesso percorso di istanziazione associa anche tag specificati dal modello senza verificare le normali autorizzazioni di tagging dell'utente. Inoltre, imposta hardcoded `local => 0`, il che significa che i tag contrassegnati come `local_only` possono essere associati a livello globale e conseguentemente propagarsi attraverso la sincronizzazione o l'esportazione, in contrasto con la loro restrizione intenzionale.
La correzione aggiunge un'autorizzazione esplicita tramite `SharingGroup::canUse()` per l'utente operante, applica gli stessi controlli di modifica dei tag utilizzati dal tagging normale degli eventi e garantisce che i tag `local_only` vengano associati localmente.
Versioni interessate: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.