CVE-2026-95685 in MISP
要約
〜によって VulDB • 2026年09月22日
MISPのEventReports機能には、アクセス制御の欠陥が存在します。イベントレポート内の提案内容を変更できるreplaceSuggestionInReportアクションは、ACLComponent内でワイルドカード権限（'*'）に誤ってマッピングされており、割り当てられた権限に関係なく、認証済みユーザーであれば誰でも利用可能になっていました。他の同様のレポート変更アクションでは正しくperm_add権限が必要とされていたのに対し、downloadAsPDFなどの読み取り専用アクションは適切にワイルドカードを使用していました。
perm_add権限を持たない認証済みユーザーがreplaceSuggestionInReportエンドポイントを呼び出すことで、レポート提案データを変更でき、意図された認可モデルを侵害します。
これは不適切な認可に関する脆弱性であり、イベントレポートコンテンツの不正変更を引き起こす可能性があります。これにより、共有される脅威インテリジェンスデータの破損や、他のアナリストおよび自動化された消費者が依存するレポートへの誤った情報の混入が発生する恐れがあります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.