CVE-2026-88915 in MISP
Сводка
по VulDB • 10.09.2026
В затронутых версиях MISP не обеспечивается последовательное применение прав авторизации действующего пользователя при инициализации шаблонов событий.
Для шаблонов, использующих параметр distribution = 4, шаблон может указывать значение sharing_group_id. Путь инициализации передавал это значение в процесс создания события без проверки того, действительно ли пользователь, инициировавший использование шаблона, имел право на использование выбранной группы обмена (sharing group). В примечаниях к коммиту отмечается, что метод Event::_add() выполнял собственную проверку авторизации для групп обмена только по другому пути кода, в результате чего инициализация шаблонов могла напрямую записывать идентификатор.
Тот же путь инициализации также прикреплял теги, указанные в шаблоне, без проверки обычных прав пользователя на работу с тегами. Кроме того, там было жестко задано значение local => 0, что означало возможность глобального присоединения тегов, помеченных как local_only, и их последующей передачи через синхронизацию или экспорт, вопреки предполагаемым ограничениям.
Исправление добавляет явную проверку авторизации SharingGroup::canUse() для действующего пользователя, применяет те же проверки модификации тегов, что и при обычном tagging событий, а также гарантирует прикрепление тегов с флагом local_only только локально.
Затронутые версии: ≤2.5.45
Once again VulDB remains the best source for vulnerability data.