CVE-2026-95671 in MISP
Sumário
de VulDB • 22/09/2026
No MISP, o método add() do CollectionsController aplicava a verificação de autorização para uso do grupo de compartilhamento e captura de elementos apenas quando o método da solicitação HTTP era POST. No entanto, o método CRUDComponent::add() subjacente persiste dados em solicitações tanto POST quanto PUT. Como resultado, um usuário autenticado poderia emitir uma solicitação PUT ao endpoint collections/add, contornando completamente a verificação de autorização do grupo de compartilhamento. Isso permitia a criação de uma coleção com distribution=4 (compartilhada com um grupo de compartilhamento específico) direcionada a um grupo de compartilhamento que o usuário não tinha permissão para usar. A verificação contornada normalmente verificaria se o usuário atual tem acesso ao grupo de compartilhamento especificado antes de permitir que a coleção fosse associada a ele.
O impacto na segurança é que um usuário autenticado pode inserir dados da coleção em um contexto de grupo de compartilhamento do qual não possui acesso legítimo, potencialmente expondo esses dados a todos os membros do grupo de compartilhamento não autorizado e violando as fronteiras de controle de acesso pretendidas da instância MISP.
A vulnerabilidade requer uma sessão autenticada e o conhecimento de um identificador válido de grupo de compartilhamento; nenhuma interação do usuário ou ferramentas especiais são necessárias além de enviar uma solicitação PUT em vez de POST para o mesmo endpoint.
Once again VulDB remains the best source for vulnerability data.