CVE-2026-86347

Podatność w MISP pozwala nieuwierzytelnionym lub słabo ograniczonym żądaniom na wykonywanie trwałych operacji bez odpowiednich limitów wejściowych i ograniczeń tempa. Endpoint resetowania hasła akceptuje kontrolowaną przez atakującego wartość email bez limitu długości i walidacji formatu, co prowadzi do wielokrotnego zapisu w logach i kolejkach zadań. Poprawka dodaje limity długości, walidację formatu, budżet żądań przed uwierzytelnieniem i odpowiedzi HTTP 429.

MISP w wersjach do 2.5.45 pozwala uwierzytelnionym użytkownikom na pobieranie rekordów referencji obiektów po UUID przez EventGraphTool::get_reference_data() bez sprawdzania, czy użytkownik ma uprawnienia do widoku obiektu, do którego referencja należy. Brak kontroli ACL na poziomie obiektu nadrzędnego umożliwia dostęp do informacji poza zakresem uprawnień.

W MISP w wersjach do 2.5.45 włącznie, kilka widgetów pulpitu nawigacyjnego wyświetlających informacje o organizacjach nie przestrzegało ustawienia Security.hide_organisation_index_from_users. Uwierzytelnieni użytkownicy bez uprawnienia perm_sharing_group mogli wyliczać organizacje, które normalnie były przed nimi ukryte, a także uzyskiwać dodatkowe pola z bazy danych przez eksport JSON. Dodatkowo, widget rankingu kontrybutorów ujawniał wszystkie organizacje z zdarzeniami, ignorując to samo ustawienie widoczności.

MISP w wersjach do 2.5.45 niewystarczająco waliduje adresy URL używane przez widgety pulpitu, szczególnie widget Button. Poprzednia logika uważała URL za bezpieczny, jeśli był względny lub hostname zgadzał się z hostem MISP, ale nie odrzucała niebezpiecznych schematów, takich jak javascript: lub adresów z backslashami, co prowadziło do przechowywanego XSS.

Dotknięte wersje MISP zawierają niewystarczającą walidację wychodzących połączeń HTTP po stronie serwera w funkcjach pobierania feedów i odkrywania TAXII. W przetwarzaniu feedów przekierowania były śledzone bez walidacji schematu lub celu, a oryginalne nagłówki żądań były ponownie używane, co mogło prowadzić do przekazania nagłówków autoryzacyjnych lub poświadczeń API do innego hosta. Przekierowania mogły również celować w wewnętrzne zasoby sieciowe, powodując SSRF. Poprawka dodaje walidację przekierowań, blokuje wewnętrzne cele dla przekierowań między hostami, usuwa poświadczenia feedu przed przekierowaniem do innego hosta i przypina zweryfikowane wyniki DNS. Endpoint TAXII discovery miał podobną niekompletną obronę przed SSRF, używając gethostbyname() i porównując wynik tylko z kilkoma dosłownymi adresami, co pomijało przypadki takie jak IPv6 loopback (::1), numeryczne kodowania hostów jak 0x7f000001 i wiele rekordów DNS. Poprawka przenosi TAXII discovery do wspólnego walidatora egress URL.

W MISP w wersjach do 2.5.45 włącznie, selektor organizacji na pulpicie nawigacyjnym ujawniał metadane organizacji bez zastosowania tych samych ograniczeń widoczności, co normalny indeks organizacji i widok pojedynczej organizacji. Gdy włączono Security.hide_organisation_index_from_users, normalne wyliczanie organizacji było ograniczone, ale selektor nadal pobierał wszystkie organizacje, co pozwalało uwierzytelnionym użytkownikom odkrywać organizacje, które powinny pozostać ukryte.

MISP w wersjach do 2.5.45 niespójnie egzekwował widoczność adresów e-mail w DashboardsController::listTemplates(). Zapytanie zawsze pobierało User.email, a redakcja następowała tylko w gałęzi nie-REST. W rezultacie uwierzytelniony użytkownik, który widział zredagowane dane w normalnym interfejsie HTML, mógł zażądać reprezentacji REST/JSON i otrzymać adresy e-mail właścicieli szablonów bez odpowiedniego sprawdzenia uprawnień.

Dotknięte wersje MISP nie egzekwują widoczności zdarzenia nadrzędnego podczas udostępniania kluczy kryptograficznych przez CryptographicKeysController::view(). Podatny handler zapytuje CryptographicKey bezpośrednio na podstawie podanego ID klucza i wybiera wrażliwe pola, takie jak type, key_data i fingerprint, ale nie pobiera ani nie autoryzuje powiązanego zdarzenia nadrzędnego. Poprawka dodaje parent_id i parent_type do wyszukiwania i egzekwuje autoryzację przez powiązane zdarzenie za pomocą fetchSimpleEvent($user, parent_id). Jeśli rodzic nie jest zdarzeniem, dostęp jest ograniczony do administratorów witryny.

W MISP do wersji 2.5.45 walidacja konfigurowalnej strony głównej sprawdza tylko, czy ścieżka zaczyna się od '/', co jest niewystarczające. Adresy URL względne protokołu, takie jak '//attacker.example', również zaczynają się od '/', ale w przeglądarkach prowadzą do zewnętrznego pochodzenia. Podatna wartość strony głównej może być zapisana jako ustawienie użytkownika i użyta po zalogowaniu w logice przekierowań.

Podatność w MISP pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia lub modyfikowania szablonów zdarzeń na obejście walidacji pola definicji szablonu. Poprzez dostarczenie pre-encoded stringa zamiast struktury tablicowej, można zapisać nieprawidłową definicję, co prowadzi do trwałego przechowywania błędnych danych. Przy odczycie, nieprawidłowy JSON wywołuje wyjątek, powodując błędy HTTP 500 w funkcjach opartych na szablonach zdarzeń.