CVE-2021-31780
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 59 - wyżej niż 59% wszystkich znanych CVE
Streszczenie
W MISP 2.4.141 w pliku app/Model/MispObject.php występuje błąd związany z nieprawidłowym powiązaniem grupy udostępniania, co może prowadzić do ujawnienia informacji podczas edytowania zdarzenia. Zamiast używać obiektu grupy udostępniania, ponownie wykorzystuje się przekazany lokalny identyfikator.
Ocena ryzyka
Organizacja może być narażona na ujawnienie wrażliwych informacji, co może prowadzić do naruszenia prywatności i bezpieczeństwa danych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji MISP, aby usunąć tę podatność oraz przeglądanie i monitorowanie powiązań grup udostępniania w systemie.
Inne podatności w MISP 2.4.141
Zobacz wszystkie- CVE-2026-61474Średnie
W MISP wykryto podatność polegającą na nieprawidłowej autoryzacji w punkcie końcowym tworzenia atrybutów. Uwierzytelniony użytkownik z uprawnieniami do dodawania atrybutów mógł podać identyfikator grupy udostępniania (sharing_group_id) bez wywołania odpowiedniej kontroli dostępu, o ile wartość dystrybucji atrybutu nie była jawnie ustawiona na 4 („sharing group”).
- CVE-2017-14337Wysokie
W MISP przed wersją 2.4.80, gdy skonfigurowano uwierzytelnianie za pomocą certyfikatu X.509 w połączeniu z zewnętrznym API zarządzania użytkownikami, istnieje możliwość, że nieautoryzowany użytkownik uzyska dostęp jako dowolny użytkownik, jeśli API zwróci pustą wartość.
- CVE-2026-10868Krytyczne
MISP ma podatność masowego przypisania w funkcji edycji użytkownika (UsersController::edit()). Uwierzytelniony atakujący może zmodyfikować identyfikator użytkownika w żądaniu, co pozwoli na aktualizację konta innego użytkownika.
- CVE-2026-10611Krytyczne
W systemie MISP występuje luka umożliwiająca ominięcie uwierzytelniania, gdy włączone jest mieszane uwierzytelnianie LDAP z wymuszonym OTP. Uwierzytelniony użytkownik może ominąć krok OTP i uzyskać dostęp do aplikacji bez podania kodu TOTP, HOTP lub e-mail OTP.
- CVE-2024-29859Krytyczne
W MISP przed wersją 2.4.187 funkcja add_misp_export w pliku app/Controller/EventsController.php nie sprawdza poprawnie, czy przesłany plik jest ważny.
- CVE-2024-25674Krytyczne
W MISP przed wersją 2.4.184 odkryto problem związany z niebezpiecznym przesyłaniem logo organizacji, spowodowanym brakiem weryfikacji rozszerzenia pliku i typu MIME.
- CVE-2023-50918Krytyczne
W pliku app/Controller/AuditLogsController.php w MISP przed wersją 2.4.182 niewłaściwie zarządzane są listy kontroli dostępu (ACL) dla logów audytowych.
- CVE-2023-48659Krytyczne
W MISP przed wersją 2.4.176 występuje problem związany z niewłaściwym przetwarzaniem parametrów w pliku app/Controller/AppController.php.
- CVE-2022-29528Krytyczne
W MISP przed wersją 2.4.158 odkryto problem związany z deserializacją PHAR.
- CVE-2021-39302Krytyczne
MISP w wersji 2.4.148, w określonych konfiguracjach, umożliwia atak typu SQL injection poprzez wartość $conditions['org'] w pliku app/Model/Log.php.
Oryginalny opis (angielski, źródło NVD)
In app/Model/MispObject.php in MISP 2.4.141, an incorrect sharing group association could lead to information disclosure on an event edit. When an object has a sharing group associated with an event edit, the sharing group object is ignored and instead the passed local ID is reused.