CVE-2026-56423

MISP Core (لم يتم تحديد الإصدارات المتأثرة)

توجد ثغرات في عمليات التحقق من التحكم في الوصول ضمن إجراءات الحذف الجماعي لتقارير الأحداث ومجموعات المشاركة. كانت معالجات deleteSelection تسمح بعمليات الحذف باستخدام أذونات واسعة النطاق على مستوى الأدوار، بدلاً من التحقق من صلاحية التفويض لكل كائن محدد. بالنسبة لتقارير الأحداث، اعتمدت الدالة EventReportsController::deleteSelection على الإمكانية العامة perm add، مما سمح للمستخدمين من مستوى المساهمين بحذف التقارير التابعة لمنظمات أخرى نهائيًا عن طريق إرسال معرّفات التقارير أو معرّفات UUID. أما بالنسبة لمجموعات المشاركة، فقد اعتمدت الدالة SharingGroupsController::deleteSelection على الإمكانية العامة perm sharing group، مما مكّن المستخدمين من حذف مجموعات المشاركة المملوكة لمنظمات أخرى. يمكن للمهاجم المصادق عليه الذي يمتلك أذونات الدور الواسعة هذه حذف كائنات خارج نطاق تفويض مؤسسته، مما يؤدي إلى فقدان محتوى تقارير الأحداث أو تكوينات مجموعات المشاركة عبر المثيل.

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.