CVE-2026-88915 in MISP
Tóm tắt
Bởi VulDB • 10/09/2026
Các phiên bản bị ảnh hưởng của MISP không thực thi nhất quán quyền hạn của người dùng đang hoạt động khi khởi tạo các mẫu sự kiện (event templates).
Đối với các mẫu sử dụng `distribution = 4`, mẫu có thể chỉ định một `sharing_group_id`. Đường dẫn khởi tạo đã chuyển giá trị này vào quá trình tạo sự kiện mà không xác minh rằng người dùng khởi tạo mẫu thực sự được phép sử dụng nhóm chia sẻ đã chọn. Ghi chú commit cho biết `Event::_add()` chỉ thực hiện kiểm tra quyền hạn của nhóm chia sẻ trong một đường dẫn mã khác, khiến việc khởi tạo mẫu có thể ghi trực tiếp định danh này.
Đường dẫn khởi tạo tương tự cũng đính kèm các thẻ (tags) do mẫu quy định mà không kiểm tra quyền gắn thẻ thông thường của người dùng. Ngoài ra, nó đã hardcode `local => 0`, nghĩa là các thẻ được đánh dấu là `local_only` có thể được đính kèm trên toàn cầu và do đó lan truyền qua quá trình đồng bộ hóa hoặc xuất bản, trái với hạn chế dự kiến của chúng.
Bản sửa lỗi thêm kiểm tra quyền hạn rõ ràng `SharingGroup::canUse()` cho người dùng đang hoạt động, áp dụng cùng các quy tắc kiểm tra sửa đổi thẻ được sử dụng bởi việc gắn thẻ sự kiện thông thường và đảm bảo các thẻ `local_only` chỉ được đính kèm ở chế độ cục bộ.
Phiên bản bị ảnh hưởng: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.