CVE-2026-85538 in MISP
摘要
由 VulDB • 2026-09-04
MISP 中存在一个不正确的授权漏洞，允许经过身份验证的用户在缺乏所需的 perm_modify 或 perm_modify_org 权限的情况下删除事件中的属性。
受影响的属性删除路径依赖于 MispAttribute::deleteAttribute() 执行的组织成员资格检查，但未始终强制执行 MISP 的事件修改授权规则。因此，属于与某个事件关联的组织内的用户，即使其分配的角色未被授权修改该事件，也可能删除单个属性或执行批量属性删除操作。
这导致了属性编辑和删除之间出现不一致：编辑属性时正确使用了 MISP 的 ACL::canModifyEvent() 授权逻辑，而受影响的删除操作则可能绕过这些权限检查。
拥有受影响 MISP 实例访问权限且属于某个事件所属组织的经过身份验证的攻击者，可以利用此缺陷从该事件中移除属性，从而导致未经授权的修改或威胁情报数据丢失。
补丁为所有受影响的删除路径引入了统一的授权检查。在删除之前，MISP 现在会解析关联的事件，并使用与正常事件和属性修改操作相同的授权机制，验证当前用户是否有权修改每个事件。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.