CVE-2026-95671

MISP-də CollectionsController add() metodu paylaşım qrupu istifadəsi avtorizasiya yoxlamasını və element tutulmasını yalnız HTTP sorğu metodu POST olduqda tətbiq edirdi. Lakin əsas CRUDComponent::add() metodu həm POST, həm də PUT sorğuları zamanı məlumatları saxlayır. Nəticədə, autentifikasiya olunmuş istifadəçi collections/add son nöqtəsinə (endpoint) PUT sorğusu göndərərək paylaşım qrupu avtorizasiya yoxlamasından tamamilə yan keçə bilərdi. Bu, istifadəçinin istifadə etmək üçün səlahiyyəti olmadığı paylaşım qrupuna yönəlmiş distribution=4 (xüsusi paylaşım qrupu ilə bölüşülmüş) parametrli kolleksiyanın yaradılmasına şərait yaratdırdı. Yan keçilən yoxlama normalda kolleksiyanın həmin qrupla əlaqələndirilməsinə icazə verməzdən əvvəl cari istifadəçinin göstərilən paylaşım qrupuna giriş hüququnun olub-olmadığını təsdiqləməli idi. Təhlükəsizlik təsiri ondan ibarətdir ki, autentifikasiya olunmuş istifadəçi kolleksiya məlumatlarını qanuni girişi olmayan paylaşım qrupu kontekstində yerləşdirə bilər, bu da həmin məlumatların icazəsiz paylaşım qrupunun bütün üzvləri üçün açıq olmasına səbəb ola və MISP instansiyasının nəzərdə tutulmuş giriş kontrol sərhədlərini pozaraq məlumat sızmasına yol aça bilər. Zəiflik autentifikasiya olunmuş sessiya və keçərli paylaşım qrupu identifikatorunun bilinməsini tələb edir; eyni son nöqtəyə POST sorğusu əvəzinə PUT sorğusu göndərməkdən başqa heç bir istifadəçi qarşılıqlı əlaqəsi və ya xüsusi alət tələb olunmur.