CVE-2026-56423

Resumo

MISP Core continha verificações de controlo de acesso quebradas nos fluxos de eliminação em massa de Event Reports e Sharing Groups. Os handlers deleteSelection afetados autorizavam a eliminação usando permissões amplas ao nível do papel em vez de validarem a autorização para cada objeto selecionado. Para os Event Reports, EventReportsController::deleteSelection dependia da capacidade global perm_add em vez de uma verificação de propriedade/autorização por relatório. Como resultado, um utilizador de nível contribuidor podia submeter IDs ou UUIDs de relatórios pertencentes a outras organizações e eliminá-los permanentemente em toda a instância. A correção alterou o callback para chamar EventReport::fetchIfAuthorized($user, $itemId, 'delete') para cada relatório selecionado antes da eliminação. Para os Sharing Groups, SharingGroupsController::deleteSelection dependia da capacidade global perm_sharing_group em vez de verificar a propriedade de cada sharing group selecionado. Isto permitia a um utilizador com capacidade para sharing groups eliminar permanentemente sharing groups pertencentes a outras organizações, contornando o controlo de propriedade por objeto usado pela ação de eliminação de objeto único. A correção alterou o callback para chamar SharingGroup::checkIfOwner($user, $itemId) para cada sharing group selecionado. Um atacante autenticado com a permissão ampla de papel relevante podia abusar dos endpoints de eliminação em massa afetados para eliminar objetos fora do âmbito de autorização da sua organização, causando perda de conteúdo de event reports ou de configuração de sharing groups em toda a instância.

• CVE-2026-56423-MISP-deleteSelection-BrokenAccessControlPoC

  Prova de Conceito para CVE-2026-56423: Controle de acesso quebrado no deleteSelection do MISP (CWE-862, contribuidor exclui permanentemente Relatórios de Eventos/Grupos de Compartilhamento de outras organizações, CVSS 8.8)