CVE-2026-85226
ŚrednieCVSS 5.3Streszczenie
MISP zawiera wadę autoryzacji w silniku korelacji OnDemand, gdzie korelacje były obliczane wyłącznie na podstawie pasujących wartości atrybutów bez uwzględniania ograniczeń dystrybucji, grupy udostępniania, organizacji lub innych ograniczeń kontroli dostępu związanych z korelowanymi atrybutami i zdarzeniami. W rezultacie uwierzytelniony użytkownik mógł otrzymać wyniki korelacji odnoszące się do atrybutów lub zdarzeń, do których nie był upoważniony.
Ocena ryzyka
Uwierzytelniony użytkownik o niskich uprawnieniach może wykorzystać tę wadę, zapytując lub tworząc atrybuty, które korelują z zastrzeżonymi treściami MISP, potencjalnie uzyskując informacje o niedostępnych zdarzeniach lub atrybutach.
Rekomendacja
Zaktualizuj MISP do wersji zawierającej poprawkę, która filtruje identyfikatory atrybutów przez istniejącą logikę autoryzacji fetchAttributesSimple() i waliduje je względem bieżących ACL. Dodatkowo ogranicz uprawnienia użytkowników i monitoruj zapytania korelacyjne.
Inne podatności w MISP
Zobacz wszystkie- CVE-2026-85239Wysokie
Podatność w MISP pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia lub modyfikowania szablonów zdarzeń na obejście walidacji pola definicji szablonu. Poprzez dostarczenie pre-encoded stringa zamiast struktury tablicowej, można zapisać nieprawidłową definicję, co prowadzi do trwałego przechowywania błędnych danych. Przy odczycie, nieprawidłowy JSON wywołuje wyjątek, powodując błędy HTTP 500 w funkcjach opartych na szablonach zdarzeń.
- CVE-2026-85238Wysokie
MISP zawiera podatność na fiksację sesji w przepływie uwierzytelniania CustomAuth. Po pomyślnym uwierzytelnieniu przez CustomAuth, MISP przechowuje tożsamość uwierzytelnionego użytkownika w istniejącej sesji bez wcześniejszej rotacji identyfikatora sesji. Atakujący, który zna identyfikator sesji ofiary przed uwierzytelnieniem, może go później wykorzystać do uzyskania dostępu do uwierzytelnionej sesji ofiary.
- CVE-2026-85237Wysokie
Podatność w przepływie uwierzytelniania jednorazowym hasłem (OTP) opartym na e-mailu w MISP pozwalała atakującemu na nieograniczoną liczbę prób weryfikacji OTP. Endpoint email_otp() nie stosował ochrony przed brute-force, co umożliwiało wielokrotne zgadywanie OTP i potencjalne ominięcie dodatkowego czynnika uwierzytelniania.
- CVE-2026-85236Wysokie
Podatność CSRF w akcji cullEmptyEvents w MISP. Endpoint wykonywał operację zmieniającą stan i nieodwracalną, akceptując żądania HTTP GET. Atakujący mógł spowodować, że uwierzytelniony użytkownik z odpowiednimi uprawnieniami wywoła endpoint, co prowadzi do usunięcia opublikowanych pustych zdarzeń.
- CVE-2026-85227Średnie
MISP zawiera odbitą podatność Cross-Site Scripting (XSS) w konstruktorze zapytań filtrowania atrybutów zdarzeń. Parametry URL taggedAttributes i galaxyAttachedAttributes były wstawiane do reguł konstruktora zapytań bez escapowania HTML przed serializacją do JSON i osadzeniem wewnątrz elementu <script>.
- CVE-2026-61474Średnie
W MISP wykryto podatność polegającą na nieprawidłowej autoryzacji w punkcie końcowym tworzenia atrybutów. Uwierzytelniony użytkownik z uprawnieniami do dodawania atrybutów mógł podać identyfikator grupy udostępniania (sharing_group_id) bez wywołania odpowiedniej kontroli dostępu, o ile wartość dystrybucji atrybutu nie była jawnie ustawiona na 4 („sharing group”).
- CVE-2017-14337Wysokie
W MISP przed wersją 2.4.80, gdy skonfigurowano uwierzytelnianie za pomocą certyfikatu X.509 w połączeniu z zewnętrznym API zarządzania użytkownikami, istnieje możliwość, że nieautoryzowany użytkownik uzyska dostęp jako dowolny użytkownik, jeśli API zwróci pustą wartość.
- CVE-2026-85216Krytyczne
MISP zawiera podatność polegającą na obejściu uwierzytelniania w komponentach LDAP i LinOTP z powodu niewystarczającej walidacji danych uwierzytelniających. Atakujący, znając adres e-mail użytkownika katalogowego, może wysłać puste hasło, które w przypadku serwera LDAP akceptującego nieuwierzytelnione wiązania może zostać zaakceptowane. Ponadto w komponencie LinOTP puste hasło mogło być sprawdzane względem lokalnego hasła MISP, a konta provisionowane przez LDAP mogły być tworzone z pustym hasłem lokalnym.
- CVE-2026-10868Krytyczne
MISP ma podatność masowego przypisania w funkcji edycji użytkownika (UsersController::edit()). Uwierzytelniony atakujący może zmodyfikować identyfikator użytkownika w żądaniu, co pozwoli na aktualizację konta innego użytkownika.
- CVE-2026-10611Krytyczne
W systemie MISP występuje luka umożliwiająca ominięcie uwierzytelniania, gdy włączone jest mieszane uwierzytelnianie LDAP z wymuszonym OTP. Uwierzytelniony użytkownik może ominąć krok OTP i uzyskać dostęp do aplikacji bez podania kodu TOTP, HOTP lub e-mail OTP.
Oryginalny opis (angielski, źródło NVD)
MISP contains an authorization flaw in the OnDemand correlation engine where correlations were calculated solely from matching attribute values without applying the distribution, sharing group, organization, or other access-control restrictions associated with the correlated attributes and events. As a result, an authenticated user could receive correlation results referring to attributes or events that the user was not authorized to access. The vulnerable correlation collection path did not take the requesting user into account. The patch changes the correlation collector to accept the current user and filters the resulting attribute identifiers through MISP's existing fetchAttributesSimple() authorization logic, which evaluates event-, attribute-, object-, distribution-, and sharing-group-level restrictions against the live data. The issue also affected paths relying on previously stored correlation data. Because the OnDemand engine does not maintain the stored correlation table, its denormalized access-control information could be stale. The patch therefore validates correlated attribute identifiers against the current ACLs before returning them and additionally applies normal event visibility conditions when retrieving related events. An authenticated low-privileged user could exploit this issue by querying or creating attributes that correlate with restricted MISP content, potentially learning information about otherwise inaccessible events or attributes.