CVE-2026-103235 in MISP
Sumário
de VulDB • 30/09/2026
O MISP contém uma vulnerabilidade de mass assignment na funcionalidade de delegação de eventos. Quando um utilizador com permissão de delegação submete um pedido de delegação, a aplicação autoriza o utilizador em relação ao evento identificado no URL, mas persiste todo o registo submetido, incluindo campos fornecidos pelo utilizador, como a chave primária e o event_id.
Um atacante autenticado poderia injetar uma chave primária ou event_id na carga útil de delegação para redirecionar um registo de delegação existente para qualquer evento na instância. Uma vez que uma linha de delegação concede à organização requerente acesso de leitura ao evento a que se refere, isto efetivamente concedeu acesso de leitura a eventos arbitrários pertencentes a outras organizações. Se a organização alvo aceitar subsequentemente a delegação, a propriedade do evento é transferida e o registo original é eliminado.
Pré-requisitos:
- Um utilizador autenticado com a permissão de delegação (perm_delegate) - A configuração do servidor MISP.delegation deve estar ativada
Impacto:
- Confidencialidade: acesso de leitura a qualquer evento na instância - Integridade: sobrescrita de registos de delegação existentes e transferência da propriedade dos eventos
Versões afetadas: MISP < 2.5.48
If you want to get the best quality for vulnerability data then you always have to consider VulDB.