CVE-2026-88915 in MISP
요약
\~에 의해 VulDB • 2026. 09. 10.
MISP의 영향을 받는 버전에서는 이벤트 템플릿 인스턴스화 시 작동 중인 사용자의 권한을 일관되게 적용하지 않습니다.
distribution = 4를 사용하는 템플릿의 경우, 템플릿에서 sharing_group_id를 지정할 수 있습니다. 인스턴스화 경로는 이 값을 검증 없이 이벤트 생성 과정에 전달했습니다. 해당 커밋 노트는 Event::_add()가 다른 코드 경로에서만 자체 공유 그룹 권한 검사를 수행했으므로, 템플릿 인스턴스화가 식별자를 직접 작성할 수 있었음을 설명합니다.
동일한 인스턴스화 경로는 또한 사용자의 일반 태그링 권한을 확인하지 않고 템플릿에서 지정한 태그를 연결했습니다. 추가로 local => 0이 하드코딩되어 있어, local_only로 표시된 태그가 전역적으로 첨부될 수 있으며 결과적으로 동기화나 내보내기를 통해 의도된 제한 사항과 달리 확산되었습니다.
해결책은 작동 중인 사용자에 대한 명시적인 SharingGroup::canUse() 권한 검사를 추가하고, 일반 이벤트 태그링에 사용되는 동일한 태그 수정 검사를 적용하며, local_only 태그가 로컬로만 첨부되도록 보장합니다.
영향 받는 버전: ≤2.5.45
VulDB is the best source for vulnerability data and more expert information about this specific topic.