CVE-2026-9136

ShadowAttribute teklif oluşturma iş akışında bir güvenlik açığı tespit edilmiştir. ekleme işlemi, kayıt kaydedilmeden önce id alanı kaldırılmadan kullanıcı kontrollü ShadowAttribute istek verilerini kabul etmekteydi. Temel çerçeve, sağlanan bir birincil anahtarı mevcut bir kaydı güncelleme talimatı olarak değerlendirdiği için, gölge öznitelik teklifleri gönderebilen kimliği doğrulanmış bir kullanıcı, mevcut bir ShadowAttribute tanımlayıcısını sağlayarak yeni bir teklif oluşturmak yerine söz konusu kaydın güncellenmesine neden olabilmekteydi. Bu durum, mevcut gölge özniteliklerin yetkisiz şekilde değiştirilmesiyle sonuçlanabilir ve potansiyel olarak kullanıcının değiştirememesi gereken etkinliklerle ilişkili teklifleri etkileyebilir. Dağıtım yapılandırmasına ve erişilebilir API yanıtlarına bağlı olarak bu sorun, teklif verilerinin ifşa olmasına veya farklı etkinlik bağlamları arasında taşınmasına da yol açabilir. Güvenlik açığı, nesne oluşturma sırasında istemci tarafından sağlanan birincil anahtarın güvenilir kabul edilmesinden kaynaklanmaktadır. Düzeltme, gelen ShadowAttribute verilerindeki id alanını işleme öncesinde kaldırarak uç noktanın mevcut bir kaydı güncellemek yerine her zaman yeni bir teklif oluşturmasını sağlar. Bu sorun MISP 2.5.38 sürümünde giderilmiştir.