CVE-2026-103235

Nome do Software Vulnerável e Versões Afetadas MISP versões anteriores a 2.5.48

Description Um problema de atribuição em massa (mass assignment) existe no recurso de delegação de eventos. Quando um usuário com permissões de delegação envia uma solicitação, a aplicação valida o usuário em relação ao evento na URL, mas persiste todo o registro enviado, incluindo campos fornecidos pelo chamador, como a chave primária e o event id. Um invasor autenticado com a permissão perm delegate pode injetar uma chave primária ou event id no payload de delegação para redirecionar um registro de delegação existente para qualquer evento na instância. Isso permite o acesso de leitura não autorizado a eventos pertencentes a outras organizações. Se a organização alvo aceitar a delegação, a propriedade do evento é transferida e o registro original é excluído. Isso requer que a configuração de servidor MISP.delegation esteja habilitada.

Recommendations Atualize para a versão 2.5.48 ou posterior.