CVE-2026-103237: обход санитизации в MISP через вложенный ключ алиаса модели
В MISP обнаружена уязвимость неправильной валидации входных данных в пути сохранения ORM, позволяющая аутентифицированному пользователю с базовыми правами записи изменять, перепривязывать или мягко удалять записи других организаций. Проблема затрагивает версии ниже 2.5.48 и имеет оценку CVSS 8.3 (HIGH).
Подробности
Уязвимость затрагивает MISP версий ниже 2.5.48. При отправке данных через различные эндпоинты (добавление и редактирование атрибутов, редактирование событий, импорт свободного текста, фиксация sighting, предложение shadow attribute, создание отчёта о событии, добавление ссылки на объект, административное редактирование пользователя) приложение очищает плоскую запись: удаляет первичный ключ и привязывает event_id или object_id к контексту вызывающего. Однако метод set() нижележащего ORM отдаёт приоритет вложенному ключу, имя которого совпадает с алиасом модели, и отбрасывает внешние скалярные поля. Аутентифицированный пользователь с базовыми правами записи может воспользоваться этим, встроив вложенный блок под ключом алиаса модели в свой запрос. Логика санитизации (удаление id, привязка event_id) применяется к внешней записи, но ORM привязывается к внутренней, которая несёт выбранные атакующим id и event_id. Это позволяет перезаписывать, перепривязывать или мягко удалять строки, принадлежащие другим организациям или событиям, к которым у атакующего нет доступа на чтение. Уязвимость классифицирована как CWE-20 (Improper Input Validation), имеет оценку CVSS 8.3 (HIGH). Воздействию подвержены несколько типов сущностей: Attribute, Object, EventReport, Sighting, AttributeTag, ShadowAttribute.Что делать
Рекомендуется обновить MISP до версии 2.5.48 или выше, где проблема устранена. Если немедленное обновление невозможно, следует ограничить круг пользователей с правами perm_add и внимательно проверять поступающие запросы к перечисленным эндпоинтам. Дополнительно стоит отслеживать признаки аномальных изменений атрибутов, объектов и отчётов, а также неожиданных мягких удалений строк в журналах аудита. Поскольку эксплуатация требует лишь низкопривилегированной учётной записи, важно провести ревизию прав доступа и убедиться, что принцип наименьших привилегий соблюдается для всех учётных записей. Итог: уязвимость CVE-2026-103237 позволяет обойти санитизацию и нарушить целостность данных между организациями в MISP. Единственная надёжная мера — обновление до версии 2.5.48; дополнительные митигации носят вспомогательный характер.Источник: CVE Project (cvelistV5)