SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2026-54361

WysokieCVSS 8.8
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

MISP zawiera wiele podatności związanych z masowym przypisywaniem w obsłudze kolekcji, kolekcji tagów, delegacji zdarzeń i atrybutów cieni. Umożliwia to atakującym, którzy są uwierzytelnieni, manipulowanie polami, które powinny być kontrolowane przez serwer, co prowadzi do nieautoryzowanej modyfikacji obiektów MISP.

Ocena ryzyka

Atakujący mogą zmieniać właścicieli obiektów, co może prowadzić do nieautoryzowanego dostępu lub transferu wrażliwych danych wywiadowczych o zagrożeniach. Ryzyko to jest szczególnie wysokie w przypadku niewłaściwej konfiguracji widoczności i udostępniania obiektów.

Rekomendacja

Zaleca się aktualizację MISP do najnowszej wersji, która naprawia te podatności poprzez przypinanie pól własności i tożsamości do ich zapisanych wartości podczas operacji edycji oraz usunięcie kluczy głównych dostarczanych przez użytkownika z tras zapisu tylko do tworzenia.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

MISP contained multiple mass assignment vulnerabilities in the handling of collections, tag collections, event delegations, and shadow attributes. Several controller actions accepted user-supplied fields that should have remained server-controlled, including record identifiers and ownership-related fields such as id, org_id, orgc_id, and user_id. An authenticated attacker with access to the affected endpoints could craft requests containing protected fields in order to alter object ownership, redirect an update to another record, overwrite existing event delegation requests, or modify shadow attribute proposals belonging to another organization. This could result in unauthorized modification of MISP objects and, depending on object visibility and sharing configuration, unauthorized access to or transfer of sensitive threat intelligence data. The issue was fixed by explicitly pinning ownership and identity fields to their stored values during edit operations and by removing user-supplied primary keys from create-only save paths. Affected components: * CollectionsController::edit() * EventDelegationsController::delegateEvent() * ShadowAttributesController::edit() * TagCollectionsController::edit()915 * TagCollectionsController::editWithTags() Attack requirements: The attacker must be authenticated and able to reach the affected MISP endpoints. No user interaction is required.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS