CVE-2026-95671
ŚrednieCVSS 5.3Streszczenie
W MISP metoda add() w CollectionsController egzekwuje autoryzację grupy udostępniania tylko dla metody POST, ale CRUDComponent::add() zapisuje dane również dla PUT. Uwierzytelniony użytkownik może wysłać żądanie PUT do endpoints collections/add, aby utworzyć kolekcję z distribution=4 (współdzielenie z konkretną grupą), do której nie ma uprawnień. To omija kontrolę dostępu.
Ocena ryzyka
Użytkownik może umieścić dane w nieautoryzowanej grupie udostępniania, co może ujawnić te dane członkom tej grupy, naruszając granice kontroli dostępu.
Rekomendacja
Zastosuj poprawki MISP, które wymuszają autoryzację również dla metody PUT, i regularnie przeglądaj konfiguracje grup udostępniania.
Inne podatności w MISP
Zobacz wszystkie- CVE-2026-95806Wysokie
MISP rejestruje w PHP wrapper strumienia phar zarówno w punkcie wejścia web, jak i konsoli. Powoduje to, że operacje na ścieżkach zależnych od użytkownika mogą wywołać niejawne unserialize() (sink deserializacji), a przeniesiony katalog główny aplikacji może prowadzić do wykonania kodu z przesłanego pliku phar jako użytkownik web.
- CVE-2026-95805Średnie
Literówka w konfiguracji kontroli dostępu ACLComponent w MISP spowodowała, że reguła ACL dla akcji previewEventAttributes odwołuje się do ciągu uprawnień 'theming_enabled*' (z gwiazdką na końcu) zamiast poprawnego 'theming_enabled'. Nieprawidłowy klucz nie pasuje do żadnego prawidłowego identyfikatora uprawnień, co powoduje nieprawidłowe działanie kontroli dostępu dla previewEventAttributes — może to skutkować obejściem autoryzacji lub odmową dostępu dla uprawnionych użytkowników.
- CVE-2026-95754Średnie
W metodzie login() kontrolera UsersController w MISP zapytanie do bazy dla weryfikacji TOTP nie obejmowało kolumny User.disabled, przez co flaga wyłączonego konta nie była sprawdzana w tej gałęzi. Choć późniejsza walidacja identify() nadal odrzuca wyłączone konta, konto z TOTP może przejść do etapu weryfikacji kodu.
- CVE-2026-95703Średnie
W MISP metoda __uploadLogo w OrganisationsController przetwarza podaną przez użytkownika ścieżkę tmp_name przed weryfikacją, czy to prawdziwy upload pliku. Uwierzytelniony administrator witryny może podać dowolną ścieżkę pliku, co pozwala na sprawdzenie istnienia plików i określenie typu obrazu na serwerze.
- CVE-2026-95701Średnie
W MISP metoda __statisticsOrgs używa nazwy organizacji bezpośrednio jako części ścieżki pliku przy sprawdzaniu istnienia logo. Choć docelowy katalog nie istnieje, wzorzec stanowi podatność na path traversal, która mogłaby pozwolić na sprawdzenie istnienia dowolnych plików, gdyby katalog istniał.
- CVE-2026-95698Średnie
Metoda findOrgImage w MISP buduje ścieżkę pliku z identyfikatora organizacji bez walidacji, co pozwala na path traversal. Uwierzytelniony użytkownik z możliwością tworzenia lub importowania zdarzeń może ustawić nazwę organizacji zawierającą sekwencje traversal, umożliwiając sprawdzenie istnienia dowolnych plików oraz odczyt plików z rozszerzeniami .png lub .svg.
- CVE-2026-95697Średnie
MISP zawiera wadę autoryzacji w metodzie captureOrg modelu Organisation. Gdy parametr $force jest ustawiony na true, metoda bezwarunkowo nadpisuje pola metadanych organizacji bez weryfikacji uprawnień wywołującego użytkownika. Użytkownik z rolą edytora grupy udostępniania (SG) może wywołać tę ścieżkę kodu, co pozwala mu modyfikować metadane organizacji, które powinny być ograniczone do administratorów witryny lub użytkowników z uprawnieniami synchronizacji.
- CVE-2026-95693Średnie
W MISP metoda EventReport::uploadPicture przetwarza dostarczone przez wywołującego pole tmp_name, wywołując na nim file_exists(), mime_content_type() i exif_imagetype() przed weryfikacją, czy wartość jest prawdziwym uploadem PHP przez is_uploaded_file(). Uwierzytelniony użytkownik z uprawnieniem perm_add może podać dowolną ścieżkę systemu plików jako tmp_name, a aplikacja bada tę ścieżkę i zwraca różne komunikaty błędów w zależności od istnienia pliku, typu MIME lub formatu obrazu. Obserwując różne odpowiedzi, atakujący może enumerować istnienie plików na serwerze MISP i określić ich typ.
- CVE-2026-95685Średnie
MISP zawiera wadę kontroli dostępu w funkcjonalności EventReports. Akcja replaceSuggestionInReport, która umożliwia modyfikację treści sugestii w raporcie zdarzenia, została błędnie przypisana do dzikiej karty ('*') w ACLComponent, co czyni ją dostępną dla każdego uwierzytelnionego użytkownika niezależnie od przypisanych uprawnień. Wszystkie analogiczne akcje modyfikacji raportów wymagały uprawnienia perm_add, podczas gdy akcje tylko do odczytu, takie jak downloadAsPDF, używały dzikiej karty.
- CVE-2026-95683Średnie
W MISP widok zdarzenia Overmind wzbogaca zdarzenie o jego najnowszy dołączony raport w celach podglądu. Logika wzbogacania pobierała raport używając tylko ID zdarzenia jako warunku wyszukiwania, bez uwzględniania własnych ograniczeń dystrybucji/ACL raportu. Ponieważ raporty MISP mają niezależne ustawienie dystrybucji, które może być bardziej restrykcyjne niż dystrybucja zdarzenia nadrzędnego, uwierzytelniony użytkownik z dostępem do odczytu zdarzenia mógł pobrać i wyświetlić raport, którego dystrybucja wykluczała tego użytkownika. Dodatkowo zapytanie nie filtrowało miękkich usunięć, umożliwiając pobranie raportów administracyjnie usuniętych.
Oryginalny opis (angielski, źródło NVD)
In MISP, the CollectionsController add() method enforced the sharing-group usability authorization check and element capture only when the HTTP request method was POST. However, the underlying CRUDComponent::add() method persists data on both POST and PUT requests. As a result, an authenticated user could issue a PUT request to the collections/add endpoint, bypassing the sharing-group authorization check entirely. This allowed the creation of a collection with distribution=4 (shared with a specific sharing group) targeting a sharing group that the user was not authorized to use. The bypassed check would normally verify that the current user has access to the specified sharing group before allowing the collection to be associated with it. The security impact is that an authenticated user can place collection data into a sharing group context they do not have legitimate access to, potentially exposing that data to all members of the unauthorized sharing group and violating the intended access-control boundaries of the MISP instance. The vulnerability requires an authenticated session and knowledge of a valid sharing group identifier; no user interaction or special tooling is needed beyond sending a PUT request instead of a POST request to the same endpoint.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS