CVE-2026-54361

MISP-də kolleksiyaların, teq kolleksiyalarının, hadisə nümayəndəliklərinin və kölgə atributlarının idarə edilməsində çoxsaylı kütləvi təyin (mass assignment) zəiflikləri aşkar edilmişdir. Bir neçə kontroller hərəkəti, o cümlədən record identifikatorları və mülkiyyət ilə bağlı sahələr (id, org_id, orgc_id və user_id kimi), server tərəfindən idarə olunmalı olan istifadəçi tərəfindən təmin edilən sahələri qəbul etmişdir. Təsirə məruz qalan son nöqtələrə (endpoints) giriş imkanı olan autentifikasiya olunmuş hücumçu, obyekt mülkiyyətini dəyişdirmək, yeniləməni başqa bir qeydə yönləndirmək, mövcud hadisə nümayəndəliyi sorğularını yenidən yazmaq və ya digər təşkilata məxsus kölgə atributu təkliflərini dəyişdirmək üçün qorunan sahələri ehtiva edən sorğular hazırlaya bilərdi. Bu, MISP obyektlərinin icazəsiz şəkildə dəyişdirilməsinə və obyektin görünürlüyü və paylaşım konfiqurasiyasından asılı olaraq, həssas təhdid kəşfiyyatı məlumatlarına icazəsiz girişə və ya onların ötürülməsinə səbəb ola bilərdi. Problem, redaktə əməliyyatları zamanı mülkiyyət və şəxsiyyət sahələrinin açıq şəkildə saxlanılan dəyərlərə bağlanması və yalnız yaratma yolları (create-only save paths) üzrə istifadəçi tərəfindən təmin edilən primar açarların silinməsi ilə aradan qaldırılmışdır. Təsirə məruz qalan komponentlər: * CollectionsController::edit() * EventDelegationsController::delegateEvent() * ShadowAttributesController::edit() * TagCollectionsController::edit()915 * TagCollectionsController::editWithTags() Hücum tələbləri: Hücumçu autentifikasiya olunmalı və təsirə məruz qalan MISP son nöqtələrinə çata bilməlidir. İstifadəçi qarşılıqlı əlaqəsi tələb olunmur.