CVE-2026-56423

सारांश

MISP Core में Event Reports और Sharing Groups के लिए बल्क विलोपन प्रवाहों में दोषपूर्ण एक्सेस-नियंत्रण जाँचें मौजूद थीं। प्रभावित deleteSelection हैंडलर ने प्रत्येक चयनित ऑब्जेक्ट के लिए प्राधिकरण को सत्यापित करने के बजाय व्यापक भूमिका-स्तरीय अनुमतियों के आधार पर विलोपन को अधिकृत किया। Event Reports के मामले में, EventReportsController::deleteSelection ने प्रति-रिपोर्ट स्वामित्व/प्राधिकरण जाँच के स्थान पर वैश्विक perm_add क्षमता पर निर्भर किया। परिणामस्वरूप, योगदानकर्ता-स्तर का उपयोगकर्ता अन्य संगठनों से संबंधित रिपोर्टों की ID या UUID जमा करके उन्हें पूरे इंस्टेंस में हार्ड-डिलीट कर सकता था। फिक्स में कॉलबैक को बदलकर विलोपन से पहले प्रत्येक चयनित रिपोर्ट के लिए EventReport::fetchIfAuthorized($user, $itemId, 'delete') को कॉल करना सुनिश्चित किया गया। Sharing Groups के मामले में, SharingGroupsController::deleteSelection ने प्रत्येक चयनित शेयरिंग ग्रुप के स्वामित्व को सत्यापित करने के बजाय वैश्विक perm_sharing_group क्षमता पर निर्भर किया। इससे शेयरिंग-ग्रुप क्षमता वाले उपयोगकर्ता को अन्य संगठनों के स्वामित्व वाले शेयरिंग ग्रुप को हार्ड-डिलीट करने की अनुमति मिली, जिससे एकल-ऑब्जेक्ट विलोपन क्रिया में प्रयुक्त प्रति-ऑब्जेक्ट स्वामित्व गेट बायपास हो गया। फिक्स में कॉलबैक को बदलकर प्रत्येक चयनित शेयरिंग ग्रुप के लिए SharingGroup::checkIfOwner($user, $itemId) को कॉल करना सुनिश्चित किया गया। एक प्रमाणित हमलावर, जिसके पास प्रासंगिक व्यापक भूमिका अनुमति थी, प्रभावित बल्क विलोपन एंडपॉइंट्स का दुरुपयोग करके अपने संगठन की प्राधिकरण सीमा के बाहर के ऑब्जेक्ट्स को हटा सकता था, जिससे पूरे इंस्टेंस में इवेंट-रिपोर्ट सामग्री या शेयरिंग-ग्रुप कॉन्फ़िगरेशन का नुकसान हो सकता था।

• CVE-2026-56423-MISP-deleteSelection-BrokenAccessControlPoC

  CVE-2026-56423 के लिए PoC: MISP deleteSelection में टूटा हुआ एक्सेस नियंत्रण (CWE-862, योगदानकर्ता अन्य संगठनों की ईवेंट रिपोर्ट/शेयरिंग ग्रुप्स को हार्ड-डिलीट करता है, CVSS 8.8)