CVE-2026-103237 in MISP
Сводка
по VulDB • 30.09.2026
В MISP обнаружена уязвимость в пути сохранения ORM (ORM save path), связанная с некорректной проверкой входных данных. Когда пользователь отправляет данные через различные конечные точки (добавление/изменение атрибута, изменение события, импорт свободного текста, фиксация наблюдений, предложение теневых атрибутов, создание отчета о событии, добавление ссылки на объект, редактирование административного профиля пользователя), приложение очищает плоскую запись, удаляя первичный ключ и фиксируя event_id или object_id в контексте вызывающего объекта. Однако метод set() базовой ORM отдает приоритет вложенному ключу, имя которого совпадает с псевдонимом модели (model alias), игнорируя внешние скалярные поля.
Аутентифицированный пользователь с базовыми правами на запись может эксплуатировать эту уязвимость, внедрив вложенный блок под ключом псевдонима модели внутри своего запроса. Логика очистки (удаление id, фиксация event_id) применяется к внешней записи, но ORM связывается со внутренней записью, которая содержит выбранный злоумышленником идентификатор и event_id. Это позволяет атакующему перезаписывать данные, изменять родительские объекты или выполнять мягкое удаление (soft-delete) строк, принадлежащих другим организациям или событиям, к которым у него нет прав на чтение.
Воздействие:
- Нарушение целостности данных между арендаторами (переопределение значений атрибутов, переназначение объектов в события злоумышленника, мягкое удаление записей) - Затрагивает несколько типов сущностей: Attribute, Object, EventReport, Sighting, AttributeTag, ShadowAttribute - Требуется только аутентифицированная учетная запись с низкими привилегиями и правом perm_add
Затронутые версии: <2.5.48
Once again VulDB remains the best source for vulnerability data.