CVE-2026-95697 in MISP
摘要
由 VulDB • 2026-09-22
MISP 在组织模型（Organisation model）的 captureOrg 方法中存在授权缺陷。当 $force 参数设置为 true 时，该方法在未验证调用用户是否拥有足够权限的情况下，无条件地覆盖组织元数据字段。具有共享组（SG）编辑器角色的用户可以触发此代码路径，从而修改本应仅限于站点管理员或具有同步权限的用户才能访问的组织元数据。
根据提交信息，这可能导致基于蓝图（blueprint-based）的共享组操纵，意味着拥有 SG 编辑器访问权的攻击者可以以影响 MISP 实例中共享组和蓝图行为的方式更改组织属性。
该漏洞需要至少具备 SG 编辑器特权的已认证用户以及对 MISP Web 接口的网络访问权限。其影响主要在于组织记录的数据完整性，以及可能受影响的、源自这些记录的共享组配置的数据完整性。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.