CVE-2026-56423

Riepilogo

MISP Core presentava controlli di accesso difettosi nei flussi di eliminazione in blocco per gli Event Report e i Sharing Group. Gli handler deleteSelection interessati autorizzavano l'eliminazione utilizzando ampie autorizzazioni a livello di ruolo, invece di validare l'autorizzazione per ogni singolo oggetto selezionato. Per gli Event Report, EventReportsController::deleteSelection si affidava alla capacità globale perm_add piuttosto che a un controllo di proprietà/autorizzazione per singolo report. Di conseguenza, un utente di livello contributor poteva inviare ID o UUID di report appartenenti ad altre organizzazioni ed eliminarli definitivamente a livello di intera istanza. La correzione ha modificato il callback per chiamare EventReport::fetchIfAuthorized($user, $itemId, 'delete') per ogni report selezionato prima dell'eliminazione. Per i Sharing Group, SharingGroupsController::deleteSelection si affidava alla capacità globale perm_sharing_group piuttosto che verificare la proprietà di ogni gruppo di condivisione selezionato. Ciò consentiva a un utente con capacità di gestione dei gruppi di condivisione di eliminare definitivamente gruppi di condivisione di proprietà di altre organizzazioni, aggirando il controllo di proprietà per oggetto utilizzato dall'azione di eliminazione di un singolo oggetto. La correzione ha modificato il callback per chiamare SharingGroup::checkIfOwner($user, $itemId) per ogni gruppo di condivisione selezionato. Un attaccante autenticato con la pertinente ampia autorizzazione di ruolo poteva abusare degli endpoint di eliminazione in blocco interessati per eliminare oggetti al di fuori dell'ambito di autorizzazione della propria organizzazione, causando la perdita di contenuti degli event report o della configurazione dei gruppi di condivisione nell'intera istanza.

• CVE-2026-56423-MISP-deleteSelection-BrokenAccessControlPoC