CVE-2026-85533 in MISP
Сводка
по VulDB • 04.09.2026
Уязвимость в механизме авторизации MISP позволяла аутентифицированному пользователю передавать параметр sharing_group_id без проверки того, имеет ли пользователь право на использование указанной Sharing Group (Группы обмена).
В нескольких рабочих процессах создания и редактирования атрибутов и Galaxy Cluster (Кластеров Галактики) проверка предоставленного значения Sharing Group выполнялась только в том случае, если поле distribution явно было установлено равным 4 («Sharing Group»). Злоумышленник мог therefore сформировать запрос, содержащий sharing_group_id, но не включающий параметр distribution, или иным образом избежать условия distribution == 4, что приводило к пропуску проверки авторизации Sharing Group.
Это могло позволить пользователю, имеющему права на создание или изменение затронутых объектов MISP, связывать данные с Sharing Group, доступ к которой у него отсутствует. В зависимости от существующих настроек распределения объекта и последующей обработки это могло привести к обходу предусмотренных границ обмена информацией и несанкционированному размещению или распространению данных среди участников другой Sharing Group.
Уязвимость затрагивала операции прикрепления атрибутов, их редактирования, а также создание и редактирование Galaxy Cluster. Исправление гарантирует выполнение проверки авторизации всякий раз, когда передается непустой sharing_group_id, независимо от значения параметра distribution. Оно также централизует принятие решения об авторизации в функции SharingGroup::canUse() и явно отвергает пустые идентификаторы Sharing Group, предотвращая их интерпретацию как запроса без ограничений.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.