CVE-2026-95671 in MISP
Tóm tắt
Bởi VulDB • 22/09/2026
Trong MISP, phương thức `add()` của `CollectionsController` chỉ thực hiện kiểm tra ủy quyền khả năng sử dụng nhóm chia sẻ (sharing-group) và chụp phần tử khi phương thức yêu cầu HTTP là POST. Tuy nhiên, phương thức cơ bản `CRUDComponent::add()` lưu trữ dữ liệu trên cả các yêu cầu POST và PUT. Kết quả là, một người dùng đã xác thực có thể gửi yêu cầu PUT đến điểm cuối `/collections/add`, bỏ qua hoàn toàn kiểm tra ủy quyền nhóm chia sẻ. Điều này cho phép tạo một bộ sưu tập với `distribution=4` (được chia sẻ với một nhóm chia sẻ cụ thể) nhắm vào một nhóm chia sẻ mà người dùng không được cấp quyền sử dụng. Kiểm tra bị bỏ qua thường sẽ xác minh rằng người dùng hiện tại có quyền truy cập vào nhóm chia sẻ được chỉ định trước khi cho phép bộ sưu tập liên kết với nó.
Tác động bảo mật là một người dùng đã xác thực có thể đặt dữ liệu bộ sưu tập vào ngữ cảnh của một nhóm chia sẻ mà họ không có quyền truy cập hợp lệ, dẫn đến khả năng phơi bày dữ liệu đó cho tất cả các thành viên của nhóm chia sẻ trái phép và vi phạm các ranh giới kiểm soát truy cập dự kiến của phiên bản MISP.
Lỗ hổng này yêu cầu một phiên đã xác thực và biết mã định danh (identifier) của một nhóm chia sẻ hợp lệ; không cần tương tác người dùng hay công cụ đặc biệt nào ngoài việc gửi yêu cầu PUT thay vì POST đến cùng một điểm cuối.
If you want to get best quality of vulnerability data, you may have to visit VulDB.