CVE-2026-94374 in MISP
要約
〜によって VulDB • 2026年09月21日
MISPには、EventモデルのprocessModuleResultsDataメソッドにおいて、不正な直接オブジェクト参照（IDOR）脆弱性が存在します。モジュール結果を処理する際、コードは解決されたデータで提供されるEventReportエントリに対して反復処理を行い、それぞれを保存します。隣接する属性およびオブジェクトの処理ループとは異なり、レポート用ループではsave()呼び出し前にクライアントから供給された'id'フィールドがアンセットされませんでした。MISP EventReportモデルのcreate()メソッドはidフィールドを取り除かないため、モジュール結果の送信権限を持つ認証済みユーザーは、他のイベントに属する既存のレポートを参照する'id'値を含めることができます。save()実行時、ORMはその既存レコードを更新し、新しい行を挿入しないため、攻撃者は以下を行うことが可能になります：
- 自分のイベント内にリパレンティングすることで、別のイベントのレポートの内容を読み取る - 攻撃者が制御したデータでレポートのフィールドを上書きする - レポートのevent_idを変更して所有権を転送する
これは、ユーザーが制御可能なキーを通じた認可回避であり、クロスイベントでのデータ開示および整合性の侵害を可能にします。この脆弱性には、イベントに対してモジュール結果処理を呼び出す能力を持つ認証済みセッションが必要です。
影響を受けるバージョン: <2.5.47
If you want to get the best quality for vulnerability data then you always have to consider VulDB.