CVE-2026-54361

MISP; koleksiyonların, etiket koleksiyonlarının, olay delegasyonlarının ve gölge özniteliklerin işlenmesinde birden fazla toplu atama (mass assignment) zafiyeti içermektedir. Birkaç denetleyici eylemi; id, org_id, orgc_id ve user_id gibi kayıt tanımlayıcıları ve sahiplikle ilgili alanlar da dahil olmak üzere, sunucu kontrollü kalması gereken kullanıcı tarafından sağlanan alanları kabul etmektedir. Etkilenen uç noktalara erişimi olan kimliği doğrulanmış bir saldırgan; nesne sahipliğini değiştirmek, bir güncellemeyi başka bir kayda yönlendirmek, mevcut olay delegasyon isteklerinin üzerine yazmak veya başka bir kuruluşa ait gölge öznitelik önerilerini değiştirmek amacıyla korumalı alanlar içeren istekler oluşturabilir. Bu durum, MISP nesnelerinin yetkisiz şekilde değiştirilmesine ve nesne görünürlüğü ile paylaşım yapılandırmasına bağlı olarak hassas tehdit istihbaratı verilerine yetkisiz erişime veya bu verilerin aktarılmasına neden olabilir. Sorun, düzenleme işlemleri sırasında sahiplik ve kimlik alanlarının saklanan değerlerine açıkça sabitlenmesi ve yalnızca oluşturmaya yönelik kayıt yollarından kullanıcı tarafından sağlanan birincil anahtarların kaldırılmasıyla giderilmiştir. Etkilenen bileşenler: * CollectionsController::edit() * EventDelegationsController::delegateEvent() * ShadowAttributesController::edit() * TagCollectionsController::edit()915 * TagCollectionsController::editWithTags() Saldırı gereksinimleri: Saldırganın kimliğinin doğrulanmış olması ve etkilenen MISP uç noktalarına erişebilmesi gerekir. Kullanıcı etkileşimi gerekmemektedir.