Andras Iklody

**Name of the Vulnerable Software and Affected Versions** MISP (affected versions not specified) **Description** An incorrect authorization flaw allows authenticated users to delete attributes from events without possessing the required `perm modify` or `perm modify org` permissions. The issue occurs because the `MispAttribute::deleteAttribute()` function performs organization membership checks but fails to consistently enforce event modification authorization rules. This creates a discrepancy where attribute editing is correctly restricted via `ACL::canModifyEvent()`, but deletion operations can bypass these checks. An authenticated attacker who is a member of the organization owning an event can exploit this to remove individual or bulk attributes, leading to unauthorized modification or loss of threat intelligence data. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** MISP (affected versions not specified) **Description** An authorization flaw allows an authenticated user to submit a `sharing group id` without verification of their authorization to use the referenced Sharing Group. In workflows for creating and editing attributes and Galaxy Clusters, validation was only triggered when the distribution field was explicitly set to 4 (Sharing Group). By omitting the distribution parameter or avoiding this specific condition, a user can bypass the authorization check. This enables a user with permissions to create or modify MISP objects to associate data with an unauthorized Sharing Group, potentially bypassing information-sharing boundaries and resulting in the unauthorized distribution of data to other group members. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** MISP (affected versions not specified) **Description** A cross-site request forgery (CSRF) issue exists in the sharing group quick-edit functionality. The `addOrg`, `removeOrg`, `addServer`, and `removeServer` actions utilize the ` initialiseSGQuickEdit()` helper, where the HTTP method validation meant to restrict operations to POST requests was disabled. Consequently, these state-changing actions can be triggered via GET requests. An attacker could trick an authenticated user with sufficient privileges into clicking a malicious link, allowing the attacker to modify sharing group memberships by adding or removing organizations or servers. This could lead to unauthorized access to distributed information or the disruption of legitimate information sharing. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** MISP (affected versions not specified) **Description** A cross-site request forgery (CSRF) issue occurs because the system disables form-security and CSRF protections if a request is identified as REST traffic. This detection can be manipulated by an attacker using the HTTP Accept header (e.g., `Accept: application/json`), which can be sent from a cross-origin page without a CORS preflight. Consequently, the system may treat a request from a malicious website as REST traffic and bypass security validations while using the victim's authenticated browser session. An attacker could trick an authenticated user into visiting a malicious page to execute unauthorized state-changing requests to susceptible endpoints, potentially leading to the unauthorized modification, creation, publication, or removal of data. The issue stems from the ` isRest()` function granting security exemptions based on request type rather than the authentication mechanism. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** MISP (affected versions not specified) **Description** An improper TLS certificate validation issue exists in the `CurlClient` component. The `CurlClient::$verifyPeer` property was not explicitly initialized, defaulting to null, which effectively disabled TLS peer verification during cURL operations unless explicitly enabled by the calling code. This allows HTTPS connections to accept certificates not issued by a trusted certificate authority. A man-in-the-middle attack could be performed by an attacker capable of intercepting network traffic between a MISP instance and a remote HTTPS service to impersonate the endpoint. This could lead to the observation of sensitive information, such as authentication material and threat intelligence, or the modification of responses returned to the MISP instance. **Recommendations** Apply the available patch to enable TLS peer verification by default and correct self-signed certificate handling in the `SyncTool` component.

**Name of the Vulnerable Software and Affected Versions** MISP (affected versions not specified) **Description** A persistent unsafe URL injection exists in the ButtonWidget configuration of the dashboard. The issue occurs because dashboard widget URLs were validated only during rendering and not when the configuration was saved. This allows an authenticated user with permissions to modify dashboard settings to persist arbitrary URL values, including those using the `javascript:` scheme. If these values reach a rendering or navigation path that lacks runtime validation, it could lead to client-side script execution within the security context of the MISP session. This could enable an attacker to perform actions using the privileges of the affected user or access session-specific information. This flaw is characterized as a persistence-layer validation gap and a defense-in-depth weakness. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** MISP (affected versions not specified) **Description** An authentication bypass exists in the LDAP and LinOTP authentication components due to insufficient validation of user-supplied credentials. The custom `LdapAuthenticate` and `LinOTPAuthenticate` components failed to replicate the credential validation checks of CakePHP's `FormAuthenticate` implementation, allowing empty or non-string values to reach authentication mechanisms. In the LDAP path, an attacker with a valid directory user's email could submit an empty password; if the LDAP server accepts unauthenticated binds via the `ldap bind()` function, the attacker could impersonate the user. In the LinOTP component, invalid credential types were not rejected, and when mixed authentication was enabled, empty passwords could be validated against local hashes. Additionally, LDAP-provisioned accounts could be created with empty local passwords, allowing authentication via the local fallback mechanism if LDAP resolution failed. Successful exploitation allows a remote unauthenticated attacker to impersonate users, potentially gaining administrative access to sensitive threat-intelligence data and system configurations. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** MISP (affected versions not specified) **Description** An issue in the email-based one-time password (OTP) authentication flow allows an attacker to perform an unrestricted number of OTP verification attempts. The `email otp()` endpoint lacks brute-force protection when validating submitted OTP values. An attacker who has passed the primary authentication stage can repeatedly submit candidate OTP values while the same OTP remains valid, increasing the likelihood of guessing the code and bypassing the second authentication factor to gain unauthorized account access. This is further complicated because the OTP is linked to the user instead of a specific login session, enabling multiple concurrent sessions to guess the same valid OTP. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** MISP (affected versions not specified) **Description** A cross-site request forgery (CSRF) issue exists in the `cullEmptyEvents` action. The endpoint performs a state-changing and irreversible operation while accepting HTTP GET requests. Since bodyless GET requests bypass CakePHP CSRF validation, an attacker can trick an authenticated user with sufficient privileges into invoking the endpoint by loading a crafted URL. This results in the deletion of published empty events using `skipBlocklist`, which prevents the creation of blocklist entries and makes the deletion irreversible and untrackable during synchronization. **Recommendations** Restrict the `cullEmptyEvents` action to HTTP POST requests to ensure CSRF protections are applied.

**Name of the Vulnerable Software and Affected Versions** MISP (affected versions not specified) **Description** A reflected Cross-Site Scripting (XSS) issue exists in the event attribute filtering query builder. The `taggedAttributes` and `galaxyAttachedAttributes` URL parameters are inserted into query-builder rules without HTML escaping before being serialized as JSON and embedded within a `<script>` element. Because `JsonTool::encode()` uses `JSON UNESCAPED SLASHES`, a value containing a closing `</script>` sequence can terminate the script element and inject arbitrary HTML or JavaScript. An attacker can exploit this by tricking an authenticated user into following a crafted URL, executing malicious JavaScript within the security context of the MISP instance and the victim's session privileges. This may lead to unauthorized data access or modification based on the victim's permissions. **Recommendations** Apply HTML escaping using the `h()` function to both scalar and array values before they are inserted into the DOM. As a temporary mitigation, avoid using the `taggedAttributes` and `galaxyAttachedAttributes` parameters in the event attribute filtering query builder.

**Name of the Vulnerable Software and Affected Versions** MISP (affected versions not specified) **Description** An authenticated user with permissions to create or modify event templates can bypass validation of the template definition field. The `EventTemplate::beforeValidate()` method only performs semantic validation if the definition is an array; if a pre-encoded string containing malformed JSON or an unexpected data type is provided, it bypasses `validateDefinition()` and is stored in the database. Subsequently, the `EventTemplate::afterFind()` method uses `JsonTool::decode()` to retrieve the definition without handling decoding failures. This can trigger exceptions and cause HTTP 500 errors for all authenticated users accessing the event template index or other functionality relying on `EventTemplate` queries, resulting in a persistent denial of service. Additionally, JSON representing an unexpected type may lead to invalid data reaching downstream consumers. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** MISP (affected versions not specified) **Description** A session fixation issue exists in the CustomAuth authentication flow. The system stores the authenticated user identity in the existing session without rotating the session identifier. This allows an attacker to use a pre-known session identifier to hijack a victim's authenticated session and gain their account privileges. The flaw occurs because the ` customAuthentication()` function writes the user into the CakePHP session while the `Session->renew()` call is disabled. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** MISP (affected versions not specified) **Description** An authorization flaw exists in the OnDemand correlation engine where correlations are calculated based only on matching attribute values, ignoring distribution, sharing group, organization, and other access-control restrictions. This allows an authenticated low-privileged user to receive correlation results for attributes or events they are not authorized to access by querying or creating attributes that correlate with restricted content. The issue stems from the correlation collection path failing to account for the requesting user and the use of potentially stale denormalized access-control information in paths relying on stored correlation data. The system utilizes the `fetchAttributesSimple()` function to evaluate restrictions against live data. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** MISP (لم يتم تحديد الإصدارات المتأثرة) **الوصف** تسمح عملية التحقق من التفويض غير الصحيحة في نقطة نهاية إنشاء السمات للمستخدم المصادق عليه الذي يمتلك أذونات إضافة السمات بإرسال `sharing group id` دون تشغيل عملية التحقق من التفويض المطلوبة، شريطة ألا تكون قيمة توزيع السمة مضبوطة على 4 (مجموعة المشاركة). يتيح تجاوز التحكم في الوصول هذا للمستخدمين ربط السمات بمجموعات مشاركة ليس لديهم صلاحية استخدامها، مما قد يعرض سلامة بيانات تعريف المشاركة للخطر ويكشف عن علاقات مجموعات المشاركة المقيدة. **التوصيات** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** MISP core (لم يتم تحديد الإصدارات المتأثرة) **الوصف** توجد ثغرات في التحكم في الوصول، حيث تُجرى عمليات التحقق من التفويض على كيانات غير صحيحة، أو تفتقر مسارات الكتابة إلى عمليات التحقق من الملكية وإمكانية التعديل. وهذا يسمح لمستخدم مصادق عليه ذي امتيازات أقل، ولكنه يتمتع بأذونات ميزات محددة، بتفويض كائن ما بينما يقوم بتغيير كائن آخر، أو تعديل كائنات مرئية ولكن غير قابلة للتعديل من قبل مؤسسته. تشمل المجالات المتأثرة ما يلي - إزالة علامات تقارير الأحداث: قد يختلف التقرير المصرح به عن معرف التقرير المستخدم لفصل العلامة، مما يسمح بإزالة العلامات عبر المؤسسات. - الحذف الجماعي لعناصر المجموعة: تتم عملية التفويض على مجموعة يتطابق معرّفها مع معرّف صف عنصر المجموعة بدلاً من المجموعة الأم الفعلية، مما يسمح بحذف عناصر من مجموعات لا يملكها المستخدم. - التقاط/تحديث بيانات المحلل: قد تؤدي التحديثات المتداخلة إلى الكتابة فوق السجلات دون إجراء فحص الملكية `canEditAnalystData()`، مما يتيح الكتابة فوق البيانات عبر المؤسسات. - تحرير عناصر القوالب: تتم عملية التفويض على أساس قالب يتطابق معرفه مع معرف عنصر القالب بدلاً من القالب الأصلي، مما يسمح بإجراء تعديلات غير مصرح بها على عناصر قوالب المنظمات الأخرى. - تحرير النماذج المتقادمة والتعيينات: تقوم مسارات الكتابة بتحميل النماذج باستخدام وصول نطاق العرض دون التحقق من ملكية التحرير، مما يسمح للمستخدمين بتحرير أو إعادة تعيين النماذج المرئية المملوكة لمنظمات أخرى. **التوصيات** في

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** مكوّن إضافي للمصادقة في Azure Active Directory (AAD) (لم يتم تحديد الإصدارات المتأثرة) **الوصف** يحتوي تطبيق المصادقة في Azure Active Directory (AAD) على نقاط ضعف متعددة في تدفق التفويض OAuth 2.0. يستخدم التطبيق معرف الجلسة في PHP `session id()` كمعلمة حالة OAuth، مما قد يؤدي إلى تسرب رموز الجلسة الصالحة عبر سجل المتصفح، أو رؤوس HTTP Referer، أو الوكلاء العكسيين، أو سجلات الوصول، مما قد يؤدي إلى اختطاف الجلسة. يفشل التطبيق في إعادة إنشاء معرف الجلسة بعد نجاح المصادقة، مما يجعل الجلسات عرضة لتثبيت الجلسة. علاوة على ذلك، فإن قيمة حالة OAuth ليست رقمًا عشوائيًا (nonce) للاستخدام مرة واحدة، مما يضعف الحماية من هجمات CSRF ويزيد من خطر هجمات إعادة التشغيل. ولا يفرض مسار العملية استخدام HTTPS لعنوان URI لإعادة التوجيه المكون في OAuth، مما يسمح بنقل رموز التفويض ورموز الوصول بنص عادي. بالإضافة إلى ذلك، يتم تسجيل استجابات أخطاء OAuth التي تحتوي على معلمات GET يسيطر عليها المهاجم دون تنقية، مما يتيح تزوير السجلات أو حقنها. **التوصيات** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** MISP Core (لم يتم تحديد الإصدارات المتأثرة) **الوصف** توجد ثغرات في عمليات التحقق من التحكم في الوصول ضمن إجراءات الحذف الجماعي لتقارير الأحداث ومجموعات المشاركة. كانت معالجات `deleteSelection` تسمح بعمليات الحذف باستخدام أذونات واسعة النطاق على مستوى الأدوار، بدلاً من التحقق من صلاحية التفويض لكل كائن محدد. بالنسبة لتقارير الأحداث، اعتمدت الدالة `EventReportsController::deleteSelection` على الإمكانية العامة `perm add`، مما سمح للمستخدمين من مستوى المساهمين بحذف التقارير التابعة لمنظمات أخرى نهائيًا عن طريق إرسال معرّفات التقارير أو معرّفات UUID. أما بالنسبة لمجموعات المشاركة، فقد اعتمدت الدالة `SharingGroupsController::deleteSelection` على الإمكانية العامة `perm sharing group`، مما مكّن المستخدمين من حذف مجموعات المشاركة المملوكة لمنظمات أخرى. يمكن للمهاجم المصادق عليه الذي يمتلك أذونات الدور الواسعة هذه حذف كائنات خارج نطاق تفويض مؤسسته، مما يؤدي إلى فقدان محتوى تقارير الأحداث أو تكوينات مجموعات المشاركة عبر المثيل. **التوصيات** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** MISP (لم يتم تحديد الإصدارات المتأثرة) **الوصف** يمكن لمسؤول الموقع تكوين مسار تعسفي في نظام الملفات لسجل أخطاء NDJSON الذي تستخدمه أداة `JsonLogTool`. ونظرًا لأن إدخالات السجل قد تحتوي على محتوى يتحكم فيه المهاجم، فإن المهاجم المصادق عليه الذي يتمتع بامتيازات مسؤول الموقع يمكنه توجيه مخرجات السجل إلى ملف PHP داخل دليل يمكن الوصول إليه عبر الويب، ومن ثم حقن كود PHP. يتيح الوصول إلى هذا الملف تنفيذ التعليمات البرمجية عن بُعد بامتيازات عملية خادم الويب. **التوصيات** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** MISP (لم يتم تحديد الإصدارات المتأثرة) **الوصف** يمكن لمسؤول الموقع المصادق عليه تعيين الإعداد `Kafka rdkafka config` إلى مسار تعسفي في نظام الملفات. يقوم النظام بتحليل ملف INI المشار إليه ويمرر خياراته إلى rdkafka. باستخدام ملف تكوين مُعد خصيصًا ومستضاف في موقع يمكن لـ MISP الكتابة فيه، مثل ملف تم تحميله أو صورة إدارية، يمكن للمهاجم استخدام خيارات rdkafka مثل `plugin.library.paths` لتحميل مكتبة خارجية، مما يؤدي إلى تنفيذ تعليمات برمجية تعسفية بامتيازات عملية MISP. **التوصيات** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** MISP (لم يتم تحديد الإصدارات المتأثرة) **الوصف** تقبل العديد من وحدات التحكم الأساسية ومسارات التقاط النماذج حقول الطلبات التي يتحكم فيها العميل، بما في ذلك المفاتيح الأساسية (`id`) والمفاتيح الخارجية للملكية أو النطاق مثل `event id` و`org id` و`user id` و`sharing group id` و`galaxy cluster uuid` و`organisation uuid` ومعرفات الكائنات المتداخلة ذات الصلة، دون إجراء عملية إزالة أو تثبيت أو إعادة التحقق متسقة مقابل الكائنات المصرح بها من قبل الخادم. يمكن للمستخدم المصادق عليه الذي يتمتع بحق الوصول إلى كائن واحد مصرح به إرسال حمولات REST أو نماذج مصممة خصيصًا لحفظ البيانات في كائن مختلف عن الكائن الذي تم التحقق منه بواسطة منطق التفويض. وقد يؤدي ذلك إلى الكتابة فوق الكائن، أو إعادة تحديد الوالد للكائن، أو نقل الملكية، أو تحديد نطاق مجموعة مشاركة غير مصرح به، أو حقن حدث أو كائن، أو إعادة توجيه الاقتراح، أو ظهور محتوى مخزن يتحكم فيه المهاجم في سياق مستخدم آخر. تنبع المشكلة من قيام الدالة `CRUDComponent::edit()` بنسخ الحقول المقدمة، بما في ذلك المفتاح الأساسي للحمولة، إلى السجل الذي تم تحميله، مما يسمح لدالة `save()` في CakePHP بتحديث صف عشوائي إذا لم يتم إعادة تثبيت المعرف الذي تم تحميله. **التوصيات** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.