CVE-2026-104908
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
MISP zawiera lukę w zabezpieczeniach umożliwiającą sprawdzanie poprawności nieprawidłowych danych wejściowych w funkcji importowania modeli o degradacji. Punkt końcowy importu miał na celu utworzenie nowego, rozpadającego się modelu należącego wyłącznie do organizacji użytkownika importującego, z wymuszoną wyłączoną flagą domyślną.
Jednak aplikacja usunęła tylko pola id i uuid najwyższego poziomu oraz przypięła identyfikator org_id i wartość domyślną do tablicy zewnętrznej przed zapisaniem danych w postaci płaskiej. Użytkownik z uprawnieniami do modelu zanikającego może dostarczyć klucz modelu zagnieżdżonego zawierający własny klucz podstawowy, identyfikator organizacji i flagę domyślną, co omija te zabezpieczenia podczas operacji zapisywania.
Wpływ:
- Użytkownik z opcją perm_decaying może zastąpić istniejący, niszczejący model należący do innej organizacji, zmieniając jego nazwę, formułę, parametry lub własność.
- Użytkownik może utworzyć lub zmodyfikować model oznaczony jako domyślny w organizacji, wpływając na zachowanie punktacji innych użytkowników.
- Użytkownik może ponownie przypisać organizację modelu do dowolnej wartości.
Warunki wstępne:
- Uwierzytelniony użytkownik z uprawnieniami do zanikającego modelu (perm_decaying).
- Dostęp sieciowy do instancji MISP.
Dotknięte: <2.5.48.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org