CVE-2026-88915

MISP-in təsirlənmiş versiyalarında hadisə şablonları (event templates) yaradılarkən istifadəçinin səlahiyyətləri ardıcıl şəkildə yoxlanılmır. distribution = 4 istifadə edən şablonlarda sharing_group_id təyin edilə bilər. Şablonun yaradılması yolu, şablonu tətbiq edən istifadəçinin seçilmiş paylaşım qrupundan istifadə etməyə icazəsinin olub-olmadığını yoxlamadan həmin dəyəri hadisənin yaradılmasına ötürürdü. Commit qeydlərində bildirilir ki, Event::_add() funksiyası öz paylaşım qrupu avtorizasiyasını yalnız digər bir kod yolunda yerinə yetirirdi, bu isə şablonun yaradılması zamanı identifikatorun birbaşa yazılmasına şərait yaratdırırdı. Eyni yaradılma yolu həmçinin istifadəçinin standart teqləmə icazələrini yoxlamadan şablonda təyin edilmiş tegləri əlavə edirdi. Bundan əlavə, local => 0 dəyəri sabit kodlaşdırılmışdı, bu isə local_only kimi qeyd edilmiş teglərin qlobal şəkildə əlavə edilə biləcəyi və nəticədə onların nəzərdə tutulmuş məhdudiyyətinə zidd olaraq sinxronizasiya və ya eksport vasitəsilə yayılması demək idi. Düzəliş, aktiv istifadəçi üçün açıq SharingGroup::canUse() avtorizasiyasını əlavə edir, standart hadisə teqləməsində istifadə olunan eyni teq dəyişikliyi yoxlamalarını tətbiq edir və local_only teglərinin lokal olaraq əlavə edilməsini təmin edir. Təsirə məruz qalan versiya: ≤2.5.45