CVE-2026-56424

MISP core, yetkilendirme kontrollerinin yanlış varlık üzerinden gerçekleştirildiği veya yazma yollarında sahiplik/düzenlenebilirlik kontrollerinin eksik olduğu birden fazla hatalı erişim kontrolü açığı içeriyordu. Etkilenen alt sistemlerde, ilgili özellik iznine sahip düşük yetkili kimliği doğrulanmış bir kullanıcı, uygulamanın bir nesneye yetki verip başka bir nesneyi değiştirmesine neden olabilir veya kullanıcının organizasyonu tarafından düzenlenebilir değil, yalnızca görüntülenebilir olan nesneleri değiştirebilir. Etkilenen yollar şunları içeriyordu: * Event Reports etiket kaldırma: rota bazlı yetkilendirilen rapor, etiket ayırma işlemi için kullanılan rapor ID'sinden farklı olabilir; bu durum, başka bir olay raporundan organizasyonlar arası etiket kaldırılmasını mümkün kılıyordu. * Collection Elements toplu silme: toplu silme işlemi, öğenin gerçek üst koleksiyonu yerine, ID'si koleksiyon-öğe satır ID'si ile eşleşen bir koleksiyona karşı yetkilendiriliyordu; bu da kullanıcının sahibi olmadığı koleksiyonlardaki öğelerin silinmesine olanak tanıyordu. * Analyst Data yakalama/güncelleme: iç içe geçmiş analist veri güncellemeleri, normal canEditAnalystData sahiplik kontrolünü uygulamadan mevcut bir kaydın üzerine yazılabiliyordu; bu da analist veri kayıtlarının organizasyonlar arası üzerine yazılmasına imkan tanıyordu. * Template Elements düzenleme: düzenleme işlemi, öğenin gerçek üst şablonu yerine, ID'si şablon-öğe ID'si ile eşleşen bir şablona karşı yetkilendiriliyordu; bu da başka bir organizasyonun şablon öğelerinde yetkisiz düzenlemelere olanak tanıyordu. * Decaying Model düzenleme ve eşleştirmeler: yazma yolları modelleri görünüm kapsamındaki erişimi kullanarak yüklüyor ancak düzenleme sahipliğini doğrulamıyordu; bu da kullanıcıların başka bir organizasyona ait görülebilir modelleri düzenlemesine veya yeniden eşleştirmesine izin veriyordu. Başarılı bir istismar, alt sisteme özel izinlere sahip kimliği doğrulanmış bir kullanıcının MISP verileri üzerinde yetkisiz organizasyonlar arası değişiklikler veya silmeler yapmasına izin verebilir; bu da bütünlük kaybına, paylaşılan istihbaratla yetkisiz şekilde oynanmasına ve analist iş akışlarının aksamasına yol açabilir.