CVE-2026-88915
WysokieCVSS 7.1Streszczenie
MISP w wersjach do 2.5.45 włącznie nie egzekwuje spójnie uprawnień działającego użytkownika podczas tworzenia szablonów zdarzeń. Ścieżka tworzenia szablonu przekazywała sharing_group_id bez weryfikacji, czy użytkownik może użyć wybranej grupy udostępniania, dołączała tagi bez sprawdzania uprawnień do tagowania i wymuszała local => 0, przez co tagi oznaczone jako local_only mogły być dołączane globalnie i propagowane przez synchronizację lub eksport.
Ocena ryzyka
Użytkownik o niewystarczających uprawnieniach może utworzyć zdarzenie z niedozwoloną grupą udostępniania lub tagami, co prowadzi do nieautoryzowanego ujawnienia danych i naruszenia ograniczeń tagów lokalnych.
Rekomendacja
Zaktualizuj MISP do wersji zawierającej poprawkę, która dodaje autoryzację SharingGroup::canUse(), stosuje standardowe kontrole modyfikacji tagów i zapewnia lokalne dołączanie tagów local_only.
Inne podatności w MISP
Zobacz wszystkie- CVE-2026-88921Średnie
MISP w wersji ≤2.5.45 zawiera podatność na wstrzyknięcie HTML w komponencie MISPElementHTMLFormatterTool, który renderuje odwołania do elementów MISP (atrybutów, obiektów i tagów) do HTML podczas eksportu raportu do PDF. Pola kontrolowane przez użytkownika (typ i wartość atrybutu, nazwa i relacja obiektu, nazwa tagu oraz kolory tagu) są wstawiane do szablonów HTML bez kodowania encji HTML. Dodatkowo metoda attribute() zawiera zaszyte na stałe przykładowe wartości ("domain-ip" i "google.com") zamiast znaczników formatu, przez co każdy zwykły atrybut w PDF wyświetla tekst przykładowy zamiast rzeczywistej wartości wskaźnika.
- CVE-2026-85239Wysokie
Podatność w MISP pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia lub modyfikowania szablonów zdarzeń na obejście walidacji pola definicji szablonu. Poprzez dostarczenie pre-encoded stringa zamiast struktury tablicowej, można zapisać nieprawidłową definicję, co prowadzi do trwałego przechowywania błędnych danych. Przy odczycie, nieprawidłowy JSON wywołuje wyjątek, powodując błędy HTTP 500 w funkcjach opartych na szablonach zdarzeń.
- CVE-2026-85238Wysokie
MISP zawiera podatność na fiksację sesji w przepływie uwierzytelniania CustomAuth. Po pomyślnym uwierzytelnieniu przez CustomAuth, MISP przechowuje tożsamość uwierzytelnionego użytkownika w istniejącej sesji bez wcześniejszej rotacji identyfikatora sesji. Atakujący, który zna identyfikator sesji ofiary przed uwierzytelnieniem, może go później wykorzystać do uzyskania dostępu do uwierzytelnionej sesji ofiary.
- CVE-2026-85237Wysokie
Podatność w przepływie uwierzytelniania jednorazowym hasłem (OTP) opartym na e-mailu w MISP pozwalała atakującemu na nieograniczoną liczbę prób weryfikacji OTP. Endpoint email_otp() nie stosował ochrony przed brute-force, co umożliwiało wielokrotne zgadywanie OTP i potencjalne ominięcie dodatkowego czynnika uwierzytelniania.
- CVE-2026-61474Średnie
W MISP wykryto podatność polegającą na nieprawidłowej autoryzacji w punkcie końcowym tworzenia atrybutów. Uwierzytelniony użytkownik z uprawnieniami do dodawania atrybutów mógł podać identyfikator grupy udostępniania (sharing_group_id) bez wywołania odpowiedniej kontroli dostępu, o ile wartość dystrybucji atrybutu nie była jawnie ustawiona na 4 („sharing group”).
- CVE-2017-14337Wysokie
W MISP przed wersją 2.4.80, gdy skonfigurowano uwierzytelnianie za pomocą certyfikatu X.509 w połączeniu z zewnętrznym API zarządzania użytkownikami, istnieje możliwość, że nieautoryzowany użytkownik uzyska dostęp jako dowolny użytkownik, jeśli API zwróci pustą wartość.
- CVE-2026-86419Krytyczne
Dotknięte wersje MISP zawierają niewystarczającą walidację wychodzących połączeń HTTP po stronie serwera w funkcjach pobierania feedów i odkrywania TAXII. W przetwarzaniu feedów przekierowania były śledzone bez walidacji schematu lub celu, a oryginalne nagłówki żądań były ponownie używane, co mogło prowadzić do przekazania nagłówków autoryzacyjnych lub poświadczeń API do innego hosta. Przekierowania mogły również celować w wewnętrzne zasoby sieciowe, powodując SSRF. Poprawka dodaje walidację przekierowań, blokuje wewnętrzne cele dla przekierowań między hostami, usuwa poświadczenia feedu przed przekierowaniem do innego hosta i przypina zweryfikowane wyniki DNS. Endpoint TAXII discovery miał podobną niekompletną obronę przed SSRF, używając gethostbyname() i porównując wynik tylko z kilkoma dosłownymi adresami, co pomijało przypadki takie jak IPv6 loopback (::1), numeryczne kodowania hostów jak 0x7f000001 i wiele rekordów DNS. Poprawka przenosi TAXII discovery do wspólnego walidatora egress URL.
- CVE-2026-85221Krytyczne
MISP zawiera podatność polegającą na nieprawidłowej walidacji certyfikatów TLS w klasie CurlClient. Właściwość CurlClient::$verifyPeer nie była jawnie inicjalizowana i domyślnie przyjmowała wartość null, co po przekazaniu do cURL skutecznie wyłączało weryfikację certyfikatu serwera, o ile kod wywołujący nie włączył jej jawnie. W efekcie połączenia HTTPS mogły akceptować certyfikaty niepochodzące od zaufanego urzędu certyfikacji.
- CVE-2026-85216Krytyczne
MISP zawiera podatność polegającą na obejściu uwierzytelniania w komponentach LDAP i LinOTP z powodu niewystarczającej walidacji danych uwierzytelniających. Atakujący, znając adres e-mail użytkownika katalogowego, może wysłać puste hasło, które w przypadku serwera LDAP akceptującego nieuwierzytelnione wiązania może zostać zaakceptowane. Ponadto w komponencie LinOTP puste hasło mogło być sprawdzane względem lokalnego hasła MISP, a konta provisionowane przez LDAP mogły być tworzone z pustym hasłem lokalnym.
- CVE-2026-10868Krytyczne
MISP ma podatność masowego przypisania w funkcji edycji użytkownika (UsersController::edit()). Uwierzytelniony atakujący może zmodyfikować identyfikator użytkownika w żądaniu, co pozwoli na aktualizację konta innego użytkownika.
Oryginalny opis (angielski, źródło NVD)
Affected versions of MISP do not consistently enforce the acting user's authorization when instantiating event templates. For templates using distribution = 4, the template can specify a sharing_group_id. The instantiation path passed that value into event creation without verifying that the user instantiating the template was actually permitted to use the selected sharing group. The commit notes that Event::_add() only performed its own sharing-group authorization in another code path, leaving template instantiation able to write the identifier directly. The same instantiation path also attached template-specified tags without checking the user's normal tagging permissions. In addition, it hardcoded local => 0, meaning tags marked local_only could be attached globally and consequently propagate through synchronization or export, contrary to their intended restriction. The fix adds explicit SharingGroup::canUse() authorization for the acting user, applies the same tag-modification checks used by normal event tagging, and ensures local_only tags are attached locally. Version affected: ≤2.5.45