CVE-2026-95671 in MISP
Сводка
по VulDB • 22.09.2026
В системе MISP метод add() класса CollectionsController выполнял проверку авторизации на использование группы обмена (sharing-group) и захват элементов только в том случае, если метод HTTP-запроса был POST. Однако базовый метод CRUDComponent::add() сохраняет данные как при запросах POST, так и PUT. В результате аутентифицированный пользователь мог отправить запрос PUT к конечной точке collections/add, полностью обойдя проверку авторизации на использование группы обмена. Это позволяло создать коллекцию с параметром distribution=4 (общий доступ для конкретной группы обмена), предназначенную для группы обмена, которой у пользователя не было разрешено пользоваться. Проверка, которая должна была убедиться в том, что текущий пользователь имеет доступ к указанной группе обмена перед тем как позволить ассоциировать с ней коллекцию, была обойдена.
Безопасность страдает от того, что аутентифицированный пользователь может поместить данные коллекции в контекст группы обмена, к которой у него нет легитимного доступа, потенциально раскрывая эти данные всем участникам несанкционированной группы обмена и нарушая предполагаемые границы контроля доступа экземпляра MISP.
Уязвимость требует наличия аутентифицированной сессии и знания действительного идентификатора группы обмена; для эксплуатации не требуется взаимодействие пользователя или специальные инструменты, кроме отправки запроса PUT вместо POST к той же конечной точке.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.