CVE-2026-86417

Podatność w MISP pozwala nieuwierzytelnionym lub słabo ograniczonym żądaniom na wykonywanie trwałych operacji bez odpowiednich limitów wejściowych i ograniczeń tempa. Endpoint resetowania hasła akceptuje kontrolowaną przez atakującego wartość email bez limitu długości i walidacji formatu, co prowadzi do wielokrotnego zapisu w logach i kolejkach zadań. Poprawka dodaje limity długości, walidację formatu, budżet żądań przed uwierzytelnieniem i odpowiedzi HTTP 429.

MISP w wersjach do 2.5.45 pozwala uwierzytelnionym użytkownikom na pobieranie rekordów referencji obiektów po UUID przez EventGraphTool::get_reference_data() bez sprawdzania, czy użytkownik ma uprawnienia do widoku obiektu, do którego referencja należy. Brak kontroli ACL na poziomie obiektu nadrzędnego umożliwia dostęp do informacji poza zakresem uprawnień.

W MISP w wersjach do 2.5.45 włącznie, kilka widgetów pulpitu nawigacyjnego wyświetlających informacje o organizacjach nie przestrzegało ustawienia Security.hide_organisation_index_from_users. Uwierzytelnieni użytkownicy bez uprawnienia perm_sharing_group mogli wyliczać organizacje, które normalnie były przed nimi ukryte, a także uzyskiwać dodatkowe pola z bazy danych przez eksport JSON. Dodatkowo, widget rankingu kontrybutorów ujawniał wszystkie organizacje z zdarzeniami, ignorując to samo ustawienie widoczności.

MISP w wersjach do 2.5.45 niewystarczająco waliduje adresy URL używane przez widgety pulpitu, szczególnie widget Button. Poprzednia logika uważała URL za bezpieczny, jeśli był względny lub hostname zgadzał się z hostem MISP, ale nie odrzucała niebezpiecznych schematów, takich jak javascript: lub adresów z backslashami, co prowadziło do przechowywanego XSS.

Dotknięte wersje MISP zawierają niewystarczającą walidację wychodzących połączeń HTTP po stronie serwera w funkcjach pobierania feedów i odkrywania TAXII. W przetwarzaniu feedów przekierowania były śledzone bez walidacji schematu lub celu, a oryginalne nagłówki żądań były ponownie używane, co mogło prowadzić do przekazania nagłówków autoryzacyjnych lub poświadczeń API do innego hosta. Przekierowania mogły również celować w wewnętrzne zasoby sieciowe, powodując SSRF. Poprawka dodaje walidację przekierowań, blokuje wewnętrzne cele dla przekierowań między hostami, usuwa poświadczenia feedu przed przekierowaniem do innego hosta i przypina zweryfikowane wyniki DNS. Endpoint TAXII discovery miał podobną niekompletną obronę przed SSRF, używając gethostbyname() i porównując wynik tylko z kilkoma dosłownymi adresami, co pomijało przypadki takie jak IPv6 loopback (::1), numeryczne kodowania hostów jak 0x7f000001 i wiele rekordów DNS. Poprawka przenosi TAXII discovery do wspólnego walidatora egress URL.

W MISP w wersjach do 2.5.45 włącznie, selektor organizacji na pulpicie nawigacyjnym ujawniał metadane organizacji bez zastosowania tych samych ograniczeń widoczności, co normalny indeks organizacji i widok pojedynczej organizacji. Gdy włączono Security.hide_organisation_index_from_users, normalne wyliczanie organizacji było ograniczone, ale selektor nadal pobierał wszystkie organizacje, co pozwalało uwierzytelnionym użytkownikom odkrywać organizacje, które powinny pozostać ukryte.

Dotknięte wersje MISP nie egzekwują widoczności zdarzenia nadrzędnego podczas udostępniania kluczy kryptograficznych przez CryptographicKeysController::view(). Podatny handler zapytuje CryptographicKey bezpośrednio na podstawie podanego ID klucza i wybiera wrażliwe pola, takie jak type, key_data i fingerprint, ale nie pobiera ani nie autoryzuje powiązanego zdarzenia nadrzędnego. Poprawka dodaje parent_id i parent_type do wyszukiwania i egzekwuje autoryzację przez powiązane zdarzenie za pomocą fetchSimpleEvent($user, parent_id). Jeśli rodzic nie jest zdarzeniem, dostęp jest ograniczony do administratorów witryny.

W MISP do wersji 2.5.45 walidacja konfigurowalnej strony głównej sprawdza tylko, czy ścieżka zaczyna się od '/', co jest niewystarczające. Adresy URL względne protokołu, takie jak '//attacker.example', również zaczynają się od '/', ale w przeglądarkach prowadzą do zewnętrznego pochodzenia. Podatna wartość strony głównej może być zapisana jako ustawienie użytkownika i użyta po zalogowaniu w logice przekierowań.

W systemie MISP w wersjach do 2.5.45 każdy uwierzytelniony użytkownik może uzyskać dostęp do funkcji TemplatesController::uploadFile(), ponieważ wpis ACL dla templates/uploadFile używał wildcarda *. Obejście to pozwala użytkownikom o niskich uprawnieniach lub tylko do odczytu na wielokrotne przesyłanie plików i zapełnianie dysku serwera. Poprawka zmienia wymaganie ACL z * na perm_add.

Podatność w MISP pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia lub modyfikowania szablonów zdarzeń na obejście walidacji pola definicji szablonu. Poprzez dostarczenie pre-encoded stringa zamiast struktury tablicowej, można zapisać nieprawidłową definicję, co prowadzi do trwałego przechowywania błędnych danych. Przy odczycie, nieprawidłowy JSON wywołuje wyjątek, powodując błędy HTTP 500 w funkcjach opartych na szablonach zdarzeń.