CVE-2026-56423

Резюме

MISP Core содержал нарушенные проверки контроля доступа в процедурах массового удаления для Event Reports и Sharing Groups. Затронутые обработчики deleteSelection разрешали удаление на основе широких прав уровня роли, а не проверяли авторизацию для каждого выбранного объекта. Для Event Reports обработчик EventReportsController::deleteSelection полагался на глобальное разрешение perm_add, а не на проверку владения/авторизации для каждого отчёта. В результате пользователь с ролью contributor мог передать ID или UUID отчётов, принадлежащих другим организациям, и жёстко удалить их во всей инстанции. Исправление изменило callback таким образом, чтобы он вызывал EventReport::fetchIfAuthorized($user, $itemId, 'delete') для каждого выбранного отчёта перед удалением. Для Sharing Groups обработчик SharingGroupsController::deleteSelection полагался на глобальное разрешение perm_sharing_group, а не на проверку владения каждой выбранной группой общего доступа. Это позволяло пользователю, обладающему правом работы с группами общего доступа, безвозвратно удалять группы общего доступа, принадлежащие другим организациям, в обход проверки владения объектом, используемой в действии удаления одиночного объекта. Исправление изменило callback таким образом, чтобы он вызывал SharingGroup::checkIfOwner($user, $itemId) для каждой выбранной группы общего доступа. Аутентифицированный злоумышленник с соответствующим широким правом роли мог злоупотребить затронутыми эндпоинтами массового удаления, чтобы удалять объекты за пределами области авторизации своей организации, что приводило к утрате содержимого отчётов о событиях или конфигурации групп общего доступа во всей инстанции.

• CVE-2026-56423-MISP-deleteSelection-BrokenAccessControlPoC

  PoC для CVE-2026-56423: нарушенный контроль доступа в MISP deleteSelection (CWE-862, участник жёстко удаляет Event Reports/Sharing Groups других организаций, CVSS 8.8)