CVE-2026-103237

MISP zawiera lukę w zabezpieczeniach umożliwiającą sprawdzenie poprawności nieprawidłowych danych wejściowych w ścieżce zapisu ORM. Gdy użytkownik przesyła dane za pośrednictwem różnych punktów końcowych (dodawanie/edycja atrybutu, edycja zdarzenia, import dowolnego tekstu, przechwytywanie obserwacji, propozycja atrybutu cienia, tworzenie raportu o zdarzeniu, dodawanie odniesienia do obiektu, edycja przez administratora użytkownika), aplikacja oczyszcza płaski rekord, usuwając klucz podstawowy i przypinając identyfikator_zdarzenia lub identyfikator_obiektu do kontekstu osoby wywołującej. Jednak podstawowa metoda set() ORM daje pierwszeństwo zagnieżdżonemu kluczowi, którego nazwa pasuje do aliasu modelu i odrzuca zewnętrzne pola skalarne.

Uwierzytelniony użytkownik z podstawowymi uprawnieniami do zapisu może to wykorzystać, osadzając zagnieżdżony blok pod kluczem aliasu modelu w swoim żądaniu. Logika oczyszczania (usuwanie identyfikatora, przypinanie identyfikatora zdarzenia) jest stosowana do rekordu zewnętrznego, ale zamiast tego ORM łączy się z rekordem wewnętrznym, który przenosi identyfikator i identyfikator zdarzenia wybrany przez atakującego. Umożliwia to osobie atakującej zastąpienie, ponowne utworzenie nadrzędnego lub trwałe usunięcie wierszy należących do innych organizacji lub wydarzeń, do których nie ma dostępu do odczytu.

Wpływ:

— Naruszenie integralności danych między dzierżawcami (przepisanie wartości atrybutów, ponowne przywrócenie obiektów do zdarzeń atakującego, nietrwałe usunięcie wierszy)

- Wpływa na wiele typów jednostek: Atrybut, Obiekt, EventReport, Sighting, AttributeTag, ShadowAttribute

- Wymaga tylko konta uwierzytelnionego o niskim poziomie uprawnień z perm_add

Wersje, których dotyczy problem: <2.5.48