CVE-2026-103239
WysokieCVSS 8.6Streszczenie
MISP zawiera podatność na eskalację uprawnień w funkcji tworzenia i edycji kolekcji tagów. Akcje te akceptowały pełny ładunek żądania HTTP i przekazywały go do operacji zapisu masowego, która zapisywała nie tylko zamierzoną kolekcję tagów, ale także wszelkie powiązane dane modeli. Użytkownik z uprawnieniami edytora tagów może spreparować żądanie zawierające dodatkowe dane modeli (takie jak rekordy Użytkownika lub Organizacji), co umożliwia modyfikację lub tworzenie uprzywilejowanych kont i eskalację do administratora witryny.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do kont administratora, co prowadzi do pełnej kompromitacji instancji MISP i naruszenia poufności oraz integralności danych.
Rekomendacja
Zaktualizuj MISP do wersji 2.5.48 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w MISP
Zobacz wszystkie- CVE-2026-103664Średnie
MISP zawiera podatność na odbity XSS w panelu notatek danych analityka. Parametr seed path, dostarczany przez użytkownika w URL, jest przekazywany bezpośrednio do JavaScript w odpowiedzi HTML bez sanitizacji. Atakujący może nakłonić uwierzytelnionego użytkownika do odwiedzenia spreparowanego URL, co pozwala na wykonanie dowolnego JavaScript w kontekście przeglądarki ofiary. Podatność dotyczy wersji przed poprawką (commit 58925dbf0, po v2.5.48).
- CVE-2026-103662Średnie
MISP zawiera podatność na odbity XSS w formularzach potwierdzenia tagów taksonomii (dodawanie i wyłączanie tagów). Formularze te wyświetlały wartość tagu dostarczoną przez użytkownika bez escape'owania. Atakujący może nakłonić administratora do odwiedzenia spreparowanego URL z złośliwym tagiem, co pozwala na wykonanie dowolnego JavaScript w sesji administratora. Podatność dotyczy wersji <2.5.48.
- CVE-2026-103651Wysokie
MISP zawiera podatność w przepływie uwierzytelniania jednorazowym hasłem (OTP), która pozwala na powtórne użycie skonsumowanego tokena HOTP (papierowego) i cofnięcie licznika tokena. Logika weryfikacji HOTP porównywała przesłany token z wartością licznika zapisaną w sesji użytkownika w momencie wprowadzenia hasła, a nie z autorytatywnym licznikiem przechowywanym w bazie danych. Ponieważ licznik zapisany w sesji nie jest aktualizowany po pomyślnym użyciu tokena, atakujący posiadający ważną sesję (hasło już wprowadzone) może ponownie użyć wcześniej spalonego tokena HOTP. Warunkiem jest, że docelowy użytkownik ma włączone uwierzytelnianie dwuskładnikowe HOTP (papierowy token), atakujący posiada ważną sesję, w której krok hasła został już ukończony (krok OTP jest oczekujący), oraz ma dostęp do co najmniej jednej wartości tokena HOTP (np. listy tokenów papierowych). Wpływ: obejście drugiego czynnika uwierzytelniania, umożliwiające nieautoryzowany dostęp do konta MISP, oraz uszkodzenie stanu licznika HOTP, potencjalnie unieważniające kolejne legalne tokeny lub umożliwiające dalsze powtórzenia. Dotyczy wersji <2.5.48.
- CVE-2026-103389Średnie
MISP zawiera podatność na trwały skrypt XSS w obsłudze ikon galaktyk. Pole ikony obiektu galaktyki jest zapisywane bez walidacji po stronie serwera, a następnie bezpośrednio wstawiane do kodu HTML przez skrypty renderujące graf korelacji. Użytkownik z uprawnieniami perm_galaxy_editor może zapisać dowolny kod HTML lub JavaScript, który wykona się w przeglądarce innego użytkownika otwierającego graf korelacji.
- CVE-2026-103388Średnie
MISP renderuje pole źródła klastra galaktyki jako klikalny link, jeśli wartość przechodzi walidację FILTER_VALIDATE_URL, która akceptuje schemat javascript:. Użytkownik z uprawnieniami edytora galaktyk może zapisać adres javascript: jako źródło klastra, a po kliknięciu przez inną osobę skrypt wykona się w jej przeglądarce.
- CVE-2026-103321Wysokie
MISP zawiera podatność na przechowywane Cross Site Scripting (XSS) w funkcji podglądu grafu zdarzeń. Pole obrazu podglądu grafu jest akceptowane i przechowywane bez walidacji po stronie serwera, co pozwala na wstrzyknięcie złośliwego skryptu, który wykona się w przeglądarce ofiary.
- CVE-2026-103237Wysokie
MISP zawiera podatność na nieprawidłową walidację danych wejściowych w ścieżce zapisu ORM. Gdy użytkownik przesyła dane przez różne punkty końcowe, aplikacja oczyszcza rekord, usuwając klucz główny i przypinając event_id lub object_id do kontekstu wywołującego. Jednak metoda set() ORM nadaje priorytet zagnieżdżonemu kluczowi, którego nazwa odpowiada aliasowi modelu, i odrzuca zewnętrzne pola skalarne. Uwierzytelniony użytkownik z podstawowymi uprawnieniami zapisu może wykorzystać to do nadpisania, przeniesienia lub miękkiego usunięcia rekordów należących do innych organizacji lub zdarzeń.
- CVE-2026-103235Wysokie
MISP zawiera podatność na masowe przypisanie w funkcji delegowania zdarzeń. Gdy użytkownik z uprawnieniami delegowania przesyła żądanie delegowania, aplikacja autoryzuje użytkownika względem zdarzenia zidentyfikowanego w URL, ale następnie zapisuje cały przesłany rekord, w tym pola dostarczone przez wywołującego, takie jak klucz główny i event_id. Uwierzytelniony atakujący może wstrzyknąć klucz główny lub event_id do ładunku delegowania, aby przekierować istniejący rekord delegowania na dowolne zdarzenie w instancji, co skutkuje nieautoryzowanym dostępem do odczytu do zdarzeń innych organizacji, a w przypadku akceptacji delegowania, przeniesieniem własności zdarzenia.
- CVE-2026-95806Wysokie
MISP rejestruje w PHP wrapper strumienia phar zarówno w punkcie wejścia web, jak i konsoli. Powoduje to, że operacje na ścieżkach zależnych od użytkownika mogą wywołać niejawne unserialize() (sink deserializacji), a przeniesiony katalog główny aplikacji może prowadzić do wykonania kodu z przesłanego pliku phar jako użytkownik web.
- CVE-2026-95805Średnie
Literówka w konfiguracji kontroli dostępu ACLComponent w MISP spowodowała, że reguła ACL dla akcji previewEventAttributes odwołuje się do ciągu uprawnień 'theming_enabled*' (z gwiazdką na końcu) zamiast poprawnego 'theming_enabled'. Nieprawidłowy klucz nie pasuje do żadnego prawidłowego identyfikatora uprawnień, co powoduje nieprawidłowe działanie kontroli dostępu dla previewEventAttributes — może to skutkować obejściem autoryzacji lub odmową dostępu dla uprawnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
MISP contains a privilege escalation vulnerability in the tag collection creation and editing functionality. The affected actions accepted the full HTTP request payload and passed it to a bulk-association save operation, which writes not only the intended tag collection record but also any associated model data present in the payload. A user holding the tag editor permission could craft a request that includes additional model data (such as User or Organisation records) alongside the tag collection fields. Because the save operation processed all associated models indiscriminately, the injected sibling records were written to the database, enabling the attacker to modify or create privileged accounts and escalate to site administrator. Preconditions: - An authenticated account with the tag editor permission (perm_tag_editor) - Network access to the MISP instance Impact: - Unauthorized creation or modification of User and Organisation records - Privilege escalation from tag editor to site administrator Affected versions: < 2.5.48
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS