CVE-2026-95685

MISP-də EventReports funksionallığında giriş kontrolü çatışmazlığı mövcuddur. Hadisə hesabatı daxilində təklif məzmununun dəyişdirilməsinə imkan verən replaceSuggestionInReport hərəkəti ACLComponent-də yanlış şəkildə universal icazəyə ('*') bağlanmışdır və bu, həmin hərəkətin təyin olunmuş icazələrdən asılı olmayaraq bütün autentifikasiya olunmuş istifadəçilər üçün əlçatan olmasına səbəb olmuşdur. Hesabatın dəyişdirilməsi ilə bağlı digər bütün analoji hərəkətlər düzgün şəkildə perm_add icazəsini tələb etdiyi halda, downloadAsPDF kimi yalnız oxuma hərəkətləri universal icazədən müvafiq şəkildə istifadə etmişdir. perm_add icazəsi olmayan autentifikasiya olunmuş istifadəçi, nəzərdə tutulmuş avtorizasiya modelini pozaraq, hesabat təklifi məlumatlarını dəyişdirmək üçün replaceSuggestionInReport son nöqtəsini (endpoint) çağıra bilərdi. Bu, hadisə hesabatının məzmununun icazəsiz dəyişdirilməsinə gətirib çıxara bilən yanlış avtorizasiya zəifliyidir ki, bu da paylaşılan təhdid kəşfiyyatı məlumatlarının korlanmasına və ya digər analitiklərin və avtomatlaşdırılmış istehlakçıların etibar etdiyi hesabatlara yanlış məlumatların yerləşdirilməsinə səbəb ola bilər.