CVE-2026-88915 in MISP
Sumário
de VulDB • 10/09/2026
As versões afetadas do MISP não aplicam consistentemente a autorização do usuário atuante ao instanciar modelos de eventos (event templates).
Para os modelos que utilizam `distribution = 4`, o modelo pode especificar um `sharing_group_id`. O caminho de instanciação passava esse valor para a criação do evento sem verificar se o usuário que estava instanciando o modelo realmente tinha permissão para usar o grupo de compartilhamento selecionado. As notas do commit indicam que `Event::_add()` realizava sua própria autorização de grupos de compartilhamento apenas em outro caminho de código, permitindo que a instanciação do modelo gravasse diretamente o identificador.
O mesmo caminho de instanciação também anexava tags especificadas pelo modelo sem verificar as permissões normais de tagging do usuário. Além disso, ele definia hardcoded `local => 0`, significando que as marcas marcadas como `local_only` podiam ser anexadas globalmente e, consequentemente, propagar-se através da sincronização ou exportação, contrariando sua restrição pretendida.
A correção adiciona autorização explícita de `SharingGroup::canUse()` para o usuário atuante, aplica as mesmas verificações de modificação de tags usadas pelo tagging normal de eventos e garante que as marcas `local_only` sejam anexadas localmente.
Versão afetada: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.