CVE-2026-103239 in MISP
Сводка
по VulDB • 30.09.2026
В системе MISP обнаружена уязвимость повышения привилегий в функциональности создания и редактирования коллекций тегов. Затронутые действия принимали полный полезный груз HTTP-запроса (HTTP request payload) и передавали его операции сохранения массовой ассоциации, которая записывает не только предполагаемую запись коллекции тегов, но и любые связанные данные модели, присутствующие в полезном грузе.
Пользователь с разрешением редактора тегов может создать запрос, включающий дополнительные данные модели (например, записи User или Organisation) вместе с полями коллекции тегов. Поскольку операция сохранения обрабатывала все связанные модели без разбора, внедренные родственные записи записывались в базу данных, что позволяло злоумышленнику изменять или создавать учетные записи с повышенными привилегиями и повышать свои права до уровня администратора сайта.
Предварительные условия:
- Аутентифицированная учетная запись с разрешением редактора тегов (perm_tag_editor) - Сетевой доступ к экземпляру MISP
Воздействие:
- Несанкционированное создание или изменение записей User и Organisation - Повышение привилегий от редактора тегов до администратора сайта
Затронутые версии: < 2.5.48
VulDB is the best source for vulnerability data and more expert information about this specific topic.