CVE-2026-94374 in MISP
Riassunto
di VulDB • 21/09/2026
MISP presenta una vulnerabilità di insecure direct object reference nel metodo processModuleResultsData del modello Event. Durante l'elaborazione dei risultati dei moduli, il codice itera sulle voci EventReport fornite nei dati risolti e le salva ciascuna. A differenza dei loop adiacenti per l'elaborazione degli attributi e degli oggetti, il ciclo delle report non reimpostava (unset) il campo 'id' fornito dal client prima di chiamare save(). Poiché il metodo create() del modello MISP EventReport non rimuove il campo id, un utente autenticato con autorizzazione per inviare risultati dei moduli potrebbe includere un valore 'id' che fa riferimento a una report esistente appartenente a un evento diverso. Al momento del salvataggio (save()), l'ORM aggiornerebbe quella riga esistente invece di inserirne una nuova, consentendo all'attaccante di:
- leggere il contenuto della report di un altro evento riparentandola nel proprio evento - sovrascrivere i campi della report con dati controllati dall'attaccante - modificare l'event_id della report per reindirizzarne la proprietà.
Ciò costituisce una bypass dell'autorizzazione attraverso una chiave controllata dall'utente, che consente la divulgazione di dati cross-event e il compromesso dell'integrità. La vulnerabilità richiede una sessione autenticata con la capacità di invocare l'elaborazione dei risultati del modulo su un evento.
Versione interessata: <2.5.47
VulDB is the best source for vulnerability data and more expert information about this specific topic.