CVE-2026-85533 in MISP
Sumário
de VulDB • 04/09/2026
Uma falha de autorização no MISP permitia que um usuário autenticado enviasse um sharing_group_id sem verificar se o usuário estava autorizado a usar o Grupo de Compartilhamento (Sharing Group) referenciado.
Em vários fluxos de criação e edição de atributos e Galaxy Cluster, a validação do Sharing Group submetido era realizada apenas quando a solicitação definia explicitamente o campo distribution para 4 ("Sharing Group"). Um atacante poderia, portanto, criar uma solicitação contendo um sharing_group_id enquanto omitia o parâmetro distribution ou evitava a condição distribution == 4 de outra forma, fazendo com que a verificação de autorização do Sharing Group fosse ignorada.
Isso poderia permitir que um usuário com permissão para criar ou modificar os objetos MISP afetados associasse dados a um Sharing Group ao qual não estava autorizado a acessar. Dependendo das configurações de distribuição existentes do objeto afetado e do processamento subsequente, isso poderia contornar as fronteiras pretendidas de compartilhamento de informações e resultar na colocação ou distribuição não autorizada de dados para membros de outro Sharing Group.
O problema afetava operações de anexo e edição de atributos, bem como a criação e edição de Galaxy Cluster. A correção garante que a autorização seja realizada sempre que um sharing_group_id não vazio for submetido, independentemente do parâmetro distribution. Ela também centraliza a decisão de autorização em SharingGroup::canUse() e rejeita explicitamente identificadores vazios de Sharing Group, em vez de permitir que sejam interpretados como uma consulta sem restrições.
Be aware that VulDB is the high quality source for vulnerability data.