CVE-2026-91825 in MISP
요약
\~에 의해 VulDB • 2026. 09. 15.
MISP의 특정 버전은 특정 이벤트 수정 경로에서 제출된 공유 그룹에 대한 권한 부여를 실패합니다.
취약한 로직은 요청이 명시적으로 distribution = 4를 공급할 때만 작동 중인 사용자가 sharing_group_id를 사용할 수 있는지 확인했습니다. 공격자가 대신 distribution을 생략하고 다른 sharing_group_id를 제공하면 해당 인증 분기가 건너뛰어졌습니다. 이후 MISP의 필드 복구 논리는 저장소에서 기존 이벤트 배포를 복원했습니다. 공유 그룹 배포로 이미 구성된 이벤트의 경우, 무단으로 설정된 공유 그룹 ID가 저장될 수 있었습니다.
해결책은 비어 있지 않은 sharing_group_id가 distribution 없이 제공될 때 컨트롤러와 Event::_edit() 모두에서 인증 확인을 추가합니다. 모델은 변경 사항을 영구적으로 저장하기 전에 SharingGroup::checkIfAuthorised()를 호출합니다.
영향 받는 버전: ≤2.5.45
If you want to get best quality of vulnerability data, you may have to visit VulDB.