CVE-2026-56423

概要

MISP Core には、Event Reports と Sharing Groups の一括削除フローに、壊れたアクセス制御チェックが存在しました。影響を受ける deleteSelection ハンドラーは、選択された各オブジェクトの認可を検証するのではなく、広範なロールレベルの権限を使用して削除を承認していました。Event Reports については、EventReportsController::deleteSelection は、レポート単位の所有権/認可チェックではなく、グローバルな perm_add ケイパビリティに依存していました。その結果、contributor レベルのユーザーが、他の組織に属するレポートの ID または UUID を送信し、それらをインスタンス全体で完全削除 (hard-delete) できてしまう可能性がありました。この修正により、コールバックは削除前に選択された各レポートに対して EventReport::fetchIfAuthorized($user, $itemId, 'delete') を呼び出すように変更されました。Sharing Groups については、SharingGroupsController::deleteSelection は、選択された各共有グループの所有権を検証するのではなく、グローバルな perm_sharing_group ケイパビリティに依存していました。これにより、共有グループ権限を持つユーザーが、他の組織が所有する共有グループを完全削除でき、単一オブジェクトの削除アクションで使用されるオブジェクト単位の所有権ゲートを迂回できてしまう可能性がありました。この修正により、コールバックは選択された各共有グループに対して SharingGroup::checkIfOwner($user, $itemId) を呼び出すように変更されました。関連する広範なロール権限を持つ認証済み攻撃者は、影響を受ける一括削除エンドポイントを悪用して、自身の組織の認可スコープ外のオブジェクトを削除し、インスタンス全体でイベントレポートのコンテンツや共有グループの設定を失わせる可能性がありました。

• CVE-2026-56423-MISP-deleteSelection-BrokenAccessControlPoC

  CVE-2026-56423のPoC: MISPのdeleteSelectionにおけるアクセス制御の破綻（CWE-862、コントリビューターが他組織のイベントレポート/共有グループを強制削除、CVSS 8.8）