CVE-2026-85538

MISP-dəki yanlış avtorizasiya zəifliyi, autentifikasiya olunmuş istifadəçilərə tələb olunan perm_modify və ya perm_modify_org icazələri olmamasına baxmayaraq hadisələrdən atributları silməyə imkan verirdi. Təsirə məruz qalan atribut silmə yolları MispAttribute::deleteAttribute() tərəfindən yerinə yetirilən təşkilat üzvlüyü yoxlamalarına əsaslanırdı, lakin MISP-nin hadisə dəyişikliyi avtorizasiya qaydalarını ardıcıl şəkildə tətbiq etmirdi. Nəticədə, bir hadisə ilə əlaqəli olan təşkilata aid istifadəçi, təyin edilmiş rolu hadisəni dəyişdirməyə səlahiyyətli olmasa belə, fərdi atributları silə və ya toplu atribut silməsi həyata keçirə bilərdi. Bu, atributların redaktə edilməsi və silinməsi arasında uyğunsuzluq yaratmışdı: atributun redaktə edilməsi düzgün şəkildə MISP-nin ACL::canModifyEvent() avtorizasiya məntiqindən istifadə edirdisə, təsirə məruz qalan silmə əməliyyatları bu icazə yoxlamalarından yan keçə bilirdi. Təsirə məruz qalan MISP instansiyasına giriş imkanı olan və hadisəyə sahib olan təşkilatın üzvü olan autentifikasiya olunmuş hücumçu, bu çatışmazlıqdan istifadə edərək həmin hadisədən atributları silə bilərdi ki, bu da potensial olaraq icazəsiz dəyişikliyə və ya təhdid kəşfiyyatı məlumatlarının itirilməsinə səbəb ola bilərdi. Yamaq bütün təsirə məruz qalan silmə yolları üçün ümumi avtorizasiya yoxlamasını tətbiq edir. Silinməyə başlamazdan əvvəl MISP artıq əlaqəli hadisələri müəyyənləşdirir və cari istifadəçinin hər bir hadisəni dəyişdirmək üçün səlahiyyətli olduğunu adi hadisə və atribut dəyişikliyi əməliyyatlarında istifadə olunan eyni avtorizasiya mexanizmi ilə yoxlayır.