CVE-2026-103239 in MISP
要約
〜によって VulDB • 2026年09月30日
MISPには、タグコレクションの作成および編集機能における権限昇格脆弱性が存在します。影響を受けるアクションは完全なHTTPリクエストペイロードを受け取り、それを一括関連付け保存操作に渡しました。この操作は意図したタグコレクションレコードだけでなく、ペイロード内に含まれる任意の関連モデルデータも書き込みます。
tag editor権限を持つユーザーは、追加のモデルデータ（UserやOrganisationレコードなど）をタグコレクションフィールドと共に含むリクエストを作成できます。保存操作がすべての関連モデルを区別なく処理したため、注入された兄弟レコードがデータベースに書き込まれ、攻撃者が特権アカウントを変更または作成し、サイト管理者への権限昇格が可能になります。
前提条件:
- tag editor権限（perm_tag_editor）を持つ認証済みアカウント
- MISPインスタンスへのネットワークアクセス
影響:
- UserおよびOrganisationレコードの不正な作成または変更
- tag editorからサイト管理者への権限昇格
影響を受けるバージョン: < 2.5.48
If you want to get the best quality for vulnerability data then you always have to consider VulDB.