CVE-2026-85533

MISP-dəki avtorizasiya çatışmazlığı autentifikasiya olunmuş istifadəçiyə, istinad edilən Sharing Group-u istifadə etmək üçün səlahiyyətli olduğunu yoxlamadan sharing_group_id göndərməyə imkan verirdi. Bir neçə atribut və Galaxy Cluster yaratma və redaktə iş axınlarında, təqdim edilmiş Sharing Group-un validasiyası yalnız sorğuda distribution sahəsi açıq şəkildə 4 ("Sharing Group") olaraq təyin edildikdə həyata keçirilirdi. Buna görə də hücumçu distribution parametrini buraxmaqla və ya distribution == 4 şərtindən yayınmaqla tərkibində sharing_group_id olan bir sorğu hazırlaya bilərdi ki, bu da Sharing Group avtorizasiya yoxlamasının ötürülməsinə səbəb olurdu. Bu, təsirə məruz qalan MISP obyektlərini yaratmaq və ya dəyişdirmək icazəsi olan istifadəçiyə məlumatları istifadə etməyə səlahiyyətli olmadığı Sharing Group ilə əlaqələndirməyə imkan verə bilərdi. Təsirə məruz qalan obyektin mövcud distribution parametrlərindən və sonrakı emaldan asılı olaraq, bu, nəzərdə tutulmuş məlumat paylaşımı sərhədlərini yan keçə bilər və məlumatların başqa bir Sharing Group üzvlərinə icazəsiz yerləşdirilməsi və ya paylanması ilə nəticələnə bilərdi. Problem atributların əlavə edilməsi və redaktə edilməsi əməliyyatlarına, həmçinin Galaxy Cluster yaradılmasına və redaktəsinə təsir göstərirdi. Düzəliş, distribution parametrindən asılı olmayaraq, boş olmayan sharing_group_id göndərildiyi hər an avtorizasiyanın həyata keçirilməsini təmin edir. O, həmçinin avtorizasiya qərarını SharingGroup::canUse() funksiyasında mərkəzləşdirir və boş Sharing Group identifikatorlarının məhdudiyyətsiz sorğu kimi şərh edilməsinə imkan vermək əvəzinə onları açıq şəkildə rədd edir.