CVE-2026-10855
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wada autoryzacji w przepływie nadpisywania importera szablonów zdarzeń MISP. Podczas importowania szablonu w trybie nadpisywania aplikacja sprawdzała, czy pasujący szablon już istnieje, ale nie weryfikowała, czy importujący użytkownik należy do organizacji będącej właścicielem istniejącego szablonu. Uwierzytelniony użytkownik mógł nadpisać szablon zdarzeń należący do innej organizacji.
Ocena ryzyka
Nieautoryzowana modyfikacja szablonów zdarzeń innej organizacji może prowadzić do zmiany struktury szablonów, atrybutów lub metadanych używanych w kolejnych zdarzeniach lub przepływach udostępniania.
Rekomendacja
Zaleca się aktualizację MISP do wersji zawierającej poprawkę wymuszającą sprawdzenie własności przed nadpisaniem.
Inne podatności w MISP
Zobacz wszystkie- CVE-2026-61474Średnie
W MISP wykryto podatność polegającą na nieprawidłowej autoryzacji w punkcie końcowym tworzenia atrybutów. Uwierzytelniony użytkownik z uprawnieniami do dodawania atrybutów mógł podać identyfikator grupy udostępniania (sharing_group_id) bez wywołania odpowiedniej kontroli dostępu, o ile wartość dystrybucji atrybutu nie była jawnie ustawiona na 4 („sharing group”).
- CVE-2017-14337Wysokie
W MISP przed wersją 2.4.80, gdy skonfigurowano uwierzytelnianie za pomocą certyfikatu X.509 w połączeniu z zewnętrznym API zarządzania użytkownikami, istnieje możliwość, że nieautoryzowany użytkownik uzyska dostęp jako dowolny użytkownik, jeśli API zwróci pustą wartość.
- CVE-2026-10868Krytyczne
MISP ma podatność masowego przypisania w funkcji edycji użytkownika (UsersController::edit()). Uwierzytelniony atakujący może zmodyfikować identyfikator użytkownika w żądaniu, co pozwoli na aktualizację konta innego użytkownika.
- CVE-2026-10611Krytyczne
W systemie MISP występuje luka umożliwiająca ominięcie uwierzytelniania, gdy włączone jest mieszane uwierzytelnianie LDAP z wymuszonym OTP. Uwierzytelniony użytkownik może ominąć krok OTP i uzyskać dostęp do aplikacji bez podania kodu TOTP, HOTP lub e-mail OTP.
- CVE-2024-29859Krytyczne
W MISP przed wersją 2.4.187 funkcja add_misp_export w pliku app/Controller/EventsController.php nie sprawdza poprawnie, czy przesłany plik jest ważny.
- CVE-2024-25674Krytyczne
W MISP przed wersją 2.4.184 odkryto problem związany z niebezpiecznym przesyłaniem logo organizacji, spowodowanym brakiem weryfikacji rozszerzenia pliku i typu MIME.
- CVE-2023-50918Krytyczne
W pliku app/Controller/AuditLogsController.php w MISP przed wersją 2.4.182 niewłaściwie zarządzane są listy kontroli dostępu (ACL) dla logów audytowych.
- CVE-2023-48659Krytyczne
W MISP przed wersją 2.4.176 występuje problem związany z niewłaściwym przetwarzaniem parametrów w pliku app/Controller/AppController.php.
- CVE-2022-29528Krytyczne
W MISP przed wersją 2.4.158 odkryto problem związany z deserializacją PHAR.
- CVE-2021-39302Krytyczne
MISP w wersji 2.4.148, w określonych konfiguracjach, umożliwia atak typu SQL injection poprzez wartość $conditions['org'] w pliku app/Model/Log.php.
Oryginalny opis (angielski, źródło NVD)
An authorization flaw existed in the MISP Event Template Importer overwrite workflow. When importing an event template in overwrite mode, the application checked whether a matching template already existed but did not verify that the importing user belonged to the organization that owned the existing template. As a result, an authenticated user with access to the template import functionality could forcibly overwrite an event template owned by another organization. Successful exploitation could allow unauthorized modification of another organization’s event template, potentially altering template structure, attributes, or metadata used for subsequent event creation or sharing workflows. Site administrators are not affected by this restriction, as they are explicitly allowed to overwrite templates across organizations. The issue was fixed by enforcing an ownership check before overwrite: non-site-admin users may only overwrite templates owned by their own organization.