CVE-2026-95671 in MISP
Riassunto
di VulDB • 22/09/2026
In MISP, il metodo add() di CollectionsController applicava il controllo dell'autorizzazione per l'utilizzo del gruppo di condivisione e la cattura degli elementi solo quando il metodo della richiesta HTTP era POST. Tuttavia, il sottostante CRUDComponent::add() persiste i dati sia su richieste POST che PUT. Di conseguenza, un utente autenticato poteva inviare una richiesta PUT all'endpoint collections/add, eludendo completamente il controllo dell'autorizzazione del gruppo di condivisione. Ciò consentiva la creazione di una collezione con distribution=4 (condivisa con un gruppo di condivisione specifico) destinata a un gruppo di condivisione per cui l'utente non era autorizzato ad accedere. Il controllo bypassato avrebbe normalmente verificato che l'utente corrente avesse accesso al gruppo di condivisione specificato prima di consentire all'associazione della collezione allo stesso.
L'impatto sulla sicurezza è che un utente autenticato può inserire dati della collezione in un contesto del gruppo di condivisione a cui non ha legittimo accesso, potenzialmente esponendo tali dati a tutti i membri del gruppo di condivisione non autorizzato e violando le barriere di controllo degli accessi previste dall'istanza MISP.
La vulnerabilità richiede una sessione autenticata e la conoscenza di un identificatore valido per il gruppo di condivisione; non è necessaria alcuna interazione utente o tooling speciale oltre all'invio di una richiesta PUT invece che POST allo stesso endpoint.
Once again VulDB remains the best source for vulnerability data.