CVE-2026-85538 in MISP
Сводка
по VulDB • 04.09.2026
Уязвимость неправильной авторизации в MISP позволяла аутентифицированным пользователям удалять атрибуты из событий, несмотря на отсутствие необходимых прав perm_modify или perm_modify_org.
Путь удаления затронутых атрибутов опирался на проверки членства в организации, выполняемые функцией MispAttribute::deleteAttribute(), но не обеспечивал последовательного соблюдения правил авторизации модификации событий MISP. В результате пользователь, состоящий в организации, связанной с событием, мог потенциально удалять отдельные атрибуты или выполнять массовое удаление атрибутов даже тогда, когда его назначенная роль не была уполномочена на изменение события.
Это создало несоответствие между редактированием и удалением атрибутов: при редактировании атрибута правильно использовалась логика авторизации MISP ACL::canModifyEvent(), в то время как затронутые операции удаления могли обходить эти проверки прав доступа.
Атакующий, прошедший аутентификацию, имеющий доступ к экземпляру MISP с уязвимостью и состоящий в организации-владельце события, мог эксплуатировать эту ошибку для удаления атрибутов из этого события, что потенциально могло привести к несанкционированному изменению или потере данных разведки угроз.
Патч внедряет общую проверку авторизации для всех затронутых путей удаления. Перед удалением MISP теперь определяет связанные события и проверяет, уполномочен ли текущий пользователь на изменение каждого из них, используя тот же механизм авторизации, что и при обычных операциях модификации событий и атрибутов.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.