CVE-2026-103235

MISP-də hadisələrin nümayəndəliyi (event delegation) funksiyasında kütləvi təyin (mass assignment) zəifliyi mövcuddur. Nümayəndəlik icazəsi olan istifadəçi nümayəndəlik sorğusu göndərdikdə, tətbiq istifadəçini URL-də göstərilən hadisə üzrə avtorizasiya edir, lakin daha sonra primary key və event_id kimi çağırıcı tərəfindən təmin edilən sahələr də daxil olmaqla bütün göndərilmiş yazını yaddaşa yazır. Autentifikasiyadan keçmiş hücumçu, mövcud nümayəndəlik yazısını instansiyadakı hər hansı bir hadisəyə yönləndirmək üçün nümayəndəlik faylına (payload) primary key və ya event_id yerləşdirə bilər. Nümayəndəlik sətri sorğu göndərən təşkilata istinad etdiyi hadisəni oxumağa icazə verdiyi üçün, bu, effektiv şəkildə digər təşkilatlara məxsus ixtiyari hadisələri oxumaq imkanı yaradır. Əgər hədəf təşkilat sonradan nümayəndəliyi qəbul edərsə, hadisənin mülkiyyəti ötürülür və orijinal yazı silinir. İlkin şərtlər: - Nümayəndəlik icazəsi (perm_delegate) olan autentifikasiya olunmuş istifadəçi - MISP.delegation server parametrləri aktiv olmalıdır Təsir: - Konfidensiallıq: instansiyadakı hər hansı bir hadisəni oxumaq imkanı - Bütövlük: mövcud nümayəndəlik yazılarının üzərinə yazma və hadisə mülkiyyətinin ötürülməsi Təsirə məruz qalan versiyalar: MISP < 2.5.48