CVE-2026-88915

MISP'nin etkilenen sürümleri, olay şablonları örneklendirilirken işlemi gerçekleştiren kullanıcının yetkilendirmesini tutarlı bir şekilde uygulamamaktadır. distribution = 4 kullanan şablonlar için, şablon bir sharing_group_id belirtebilir. Örneklendirme yolu, şablonu örneklendiren kullanıcının seçilen paylaşım grubunu kullanmaya gerçekten izinli olup olmadığını doğrulamadan bu değeri olay oluşturma işlemine aktarmaktaydı. Commit notları, Event::_add() fonksiyonunun kendi paylaşım grubu yetkilendirmesini yalnızca başka bir kod yolunda gerçekleştirdiğini, bu durumun şablon örneklendirmesinin tanımlayıcıyı doğrudan yazabilmesine olanak tanıdığını belirtmektedir. Aynı örneklendirme yolu, kullanıcının normal etiketleme izinlerini kontrol etmeden şablonda belirtilen etiketleri de eklemekteydi. Ek olarak, local => 0 değerini sabit olarak kodlamış olduğundan, local_only olarak işaretlenen etiketler küresel olarak eklenebilmekte ve sonuç olarak amaçlanan kısıtlamanın aksine senkronizasyon veya dışa aktarma yoluyla yayılabilmekteydi. Düzeltme; işlemi gerçekleştiren kullanıcı için açık bir SharingGroup::canUse() yetkilendirmesi ekler, normal olay etiketlemede kullanılan aynı etiket değiştirme kontrollerini uygular ve local_only etiketlerinin yerel olarak eklenmesini sağlar. Etkilenen sürüm: ≤2.5.45