CVE-2026-54360

MISP-nin paylaşım qruplarının yaradılması son nöqtəsində kütləvi təyin (mass assignment) zəifliyi mövcuddur. Yeni paylaşım qrupu yaradılarkən, kontroller göndərilən məlumatları yadda saxlamazdan əvvəl istifadəçi tərəfindən təmin edilən id sahəsini silmir. CakePHP-də yadda saxlama məlumatlarında primar açarın təqdim edilməsi, create() və ardınca save() əməliyyatının yeni qeyd yaratmaq əvəzinə mövcud qeydi yeniləməsinə səbəb ola bilər. Paylaşım qrupları əlavə etmək icazəsi olan autentifikasiya olunmuş istifadəçi, beləliklə, mövcud paylaşım qrupunun identifikatorunu göndərə və normal redaktə girişə nəzarət yoxlamalarından keçmədən həmin paylaşım qrupunu dəyişdirə bilər. Bu, hücumçunun əks halda girişi olmayan paylaşım qruplarını ələ keçirməsinə və ya dəyişdirməsinə şərait yarada bilər ki, bu da həmin qruplar vasitəsilə paylaşılan məlumatların konfidensiallığına və bütövlüyünə təsir göstərə bilər. Təsirə məruz qalan komponent: app/Controller/SharingGroupsController.php, add() action