CVE-2026-103235

MISP, olay delegasyonu özelliğinde bir toplu atama (mass assignment) zafiyeti içermektedir. Delegasyon yetkisine sahip bir kullanıcı bir delegasyon isteği gönderdiğinde, uygulama kullanıcıyı URL'de tanımlanan olaya göre yetkilendirmekte ancak ardından birincil anahtar ve event_id gibi çağırıcı tarafından sağlanan alanlar da dahil olmak üzere gönderilen kaydın tamamını kalıcı hale getirmektedir. Kimliği doğrulanmış bir saldırgan, mevcut bir delegasyon kaydını örnekteki herhangi bir olaya yeniden hedeflemek için delegasyon yüküne bir birincil anahtar veya event_id enjekte edebilir. Bir delegasyon satırı, istek yapan kuruluşa referans verdiği olaya okuma erişimi verdiğinden, bu durum etkili bir şekilde diğer kuruluşlara ait rastgele olaylara okuma erişimi sağlamıştır. Hedef kuruluş daha sonra delegasyonu kabul ederse, olayın sahipliği devredilmiş ve orijinal kayıt silinmiştir. Ön koşullar: - Delegasyon yetkisine (perm_delegate) sahip kimliği doğrulanmış bir kullanıcı - MISP.delegation sunucu ayarının etkinleştirilmiş olması gerekir Etki: - Gizlilik: Örnekteki herhangi bir olaya okuma erişimi - Bütünlük: Mevcut delegasyon kayıtlarının üzerine yazılması ve olay sahipliğinin devredilmesi Etkilenen versiyonlar: MISP < 2.5.48