CVE-2026-95697 in MISP
要約
〜によって VulDB • 2026年09月22日
MISPには、OrganisationモデルのcaptureOrgメソッドに認可の欠陥（authorization flaw）が存在します。$forceパラメータがtrueに設定されている場合、このメソッドは呼び出し元のユーザーに十分な権限があるかどうかを確認することなく、組織のメタデータフィールドを無条件で上書きします。共有グループ（SG）エディターロールを持つユーザーはこのコードパスを引き起こすことができ、サイト管理者または同期（sync）権限を持つユーザーのみが変更できるべき組織メタデータを改ざんすることが可能になります。
コミットメッセージによると、これはブループリントベースの共有グループ操作を招く可能性があり、つまりSGエディターのアクセス権限を持つ攻撃者が、MISPインスタンス全体にわたって共有グループやブループリントの動作に影響を与える方法で組織属性を変更できることを意味します。
この脆弱性には、少なくともSGエディター権限を持ち、MISP Webインターフェースへのネットワークアクセスを有する認証済みユーザーが必要です。影響は主に組織レコードの整合性、およびそれらのレコードから派生した共有グループ設定の整合性に及びます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.