CVE-2026-85538 in MISP
Tóm tắt
Bởi VulDB • 04/09/2026
Một lỗ hổng xác thực sai trong MISP cho phép người dùng đã đăng nhập xóa các thuộc tính khỏi sự kiện mặc dù không có quyền perm_modify hoặc perm_modify_org cần thiết.
Các đường dẫn xóa thuộc tính bị ảnh hưởng dựa trên việc kiểm tra thành viên tổ chức do hàm `MispAttribute::deleteAttribute()` của MISP thực hiện, nhưng không tuân thủ nhất quán các quy tắc xác thực sửa đổi sự kiện của MISP. Do đó, một người dùng thuộc về tổ chức liên kết với một sự kiện có thể xóa từng thuộc tính hoặc thực hiện xóa hàng loạt thuộc tính ngay cả khi vai trò được chỉ định của họ không được phép sửa đổi sự kiện.
Điều này tạo ra sự không nhất quán giữa việc chỉnh sửa và xóa thuộc tính: việc chỉnh sửa một thuộc tính sử dụng đúng logic xác thực `ACL::canModifyEvent()` của MISP, trong khi các thao tác xóa bị ảnh hưởng có thể bỏ qua các kiểm tra quyền hạn này.
Một kẻ tấn công đã đăng nhập, có quyền truy cập vào phiên bản MISP bị ảnh hưởng và là thành viên của tổ chức sở hữu một sự kiện, có thể khai thác lỗ hổng này để loại bỏ các thuộc tính khỏi sự kiện đó, dẫn đến khả năng sửa đổi hoặc mất dữ liệu thông tin tình báo mối đe dọa trái phép.
Bản vá giới thiệu một kiểm tra xác thực chung cho tất cả các đường dẫn xóa bị ảnh hưởng. Trước khi xóa, MISP hiện sẽ giải quyết các sự kiện liên quan và xác minh rằng người dùng hiện tại được ủy quyền để sửa đổi từng sự kiện bằng cơ chế xác thực giống hệt như được sử dụng trong các thao tác sửa đổi sự kiện và thuộc tính bình thường.
Once again VulDB remains the best source for vulnerability data.