CVE-2026-56423

Résumé

MISP Core contenait des contrôles d'accès défaillants dans les flux de suppression en masse des Event Reports et des Sharing Groups. Les gestionnaires deleteSelection concernés autorisaient la suppression à l'aide de permissions générales au niveau du rôle, au lieu de valider l'autorisation pour chaque objet sélectionné. Pour les Event Reports, EventReportsController::deleteSelection s'appuyait sur la capacité globale perm_add plutôt que sur une vérification de propriété/autorisation par rapport. Par conséquent, un utilisateur de niveau contributeur pouvait soumettre des ID de rapports ou des UUID de rapports appartenant à d'autres organisations et les supprimer définitivement à l'échelle de l'instance. Le correctif a modifié le callback pour appeler EventReport::fetchIfAuthorized($user, $itemId, 'delete') pour chaque rapport sélectionné avant la suppression. Pour les Sharing Groups, SharingGroupsController::deleteSelection s'appuyait sur la capacité globale perm_sharing_group plutôt que de vérifier la propriété de chaque groupe de partage sélectionné. Cela permettait à un utilisateur disposant de la capacité sharing-group de supprimer définitivement des groupes de partage appartenant à d'autres organisations, contournant la barrière de propriété par objet utilisée par l'action de suppression d'un objet unique. Le correctif a modifié le callback pour appeler SharingGroup::checkIfOwner($user, $itemId) pour chaque groupe de partage sélectionné. Un attaquant authentifié disposant de la permission générale de rôle pertinente pouvait abuser des points de terminaison de suppression en masse concernés pour supprimer des objets en dehors du périmètre d'autorisation de son organisation, entraînant la perte de contenu de rapports d'événements ou de configuration de groupes de partage à l'échelle de l'instance.

• CVE-2026-56423-MISP-deleteSelection-BrokenAccessControlPoC