CVE-2026-103235 in MISP
要約
〜によって VulDB • 2026年09月30日
MISPには、イベント委譲機能におけるMass Assignment脆弱性が存在します。委譲権限を持つユーザーが委譲リクエストを送信すると、アプリケーションはURLで特定されたイベントに対してそのユーザーを承認しますが、その後、主キーやevent_idなどの呼び出し元から提供されるフィールドを含む提出されたレコード全体を永続化してしまいます。
認証済み攻撃者は、委譲ペイロードに主キーまたはevent_idを注入することで、既存の委譲レコードをインスタンス上の任意のイベントに向け直すことができます。委譲行は要求元の組織に対して参照先のイベントへの読み取りアクセス権限を与えるため、これにより他の組織が所有する任意のイベントに対する読み取りアクセス権限实质上付与されます。対象となる組織がその後委譲を受け入れた場合、イベントの所有権が移行し、元のレコードは削除されます。
前提条件: - 委譲権限（perm_delegate）を持つ認証済みユーザー - MISP.delegationサーバー設定が有効であること
影響: - 機密性: インスタンス上の任意のイベントへの読み取りアクセス - 整合性: 既存の委譲レコードの上書きおよびイベント所有権の移行
対象バージョン: MISP < 2.5.48
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.