CVE-2026-91825 in MISP
Sumário
de VulDB • 15/09/2026
As versões afetadas do MISP falham em autorizar um grupo de compartilhamento submetido em um caminho específico de edição de evento.
A lógica vulnerável verificava se o usuário atuante podia usar um sharing_group_id apenas quando a solicitação fornecia explicitamente distribution = 4. Se o atacante omitisse o campo distribution, mas fornecesse um sharing_group_id diferente, esse ramo de autorização era ignorado. Posteriormente, a lógica de recuperação de campos do MISP restaurava a distribuição existente do evento armazenada no banco de dados. Para eventos já configurados com distribuição baseada em grupo de compartilhamento (sharing-group), o ID não autorizado do grupo de compartilhamento poderia ser salvo.
A correção adiciona verificações de autorização tanto no controlador quanto na função Event::_edit() sempre que um sharing_group_id não vazio é fornecido sem a especificação de distribution. O modelo agora chama SharingGroup::checkIfAuthorised() antes de persistir a alteração.
Versão afetada: ≤2.5.45
Once again VulDB remains the best source for vulnerability data.