CVE-2026-85538

Nome do Software Vulnerável e Versões Afetadas MISP (versões afetadas não especificadas)

Descrição Uma falha de autorização incorreta permite que usuários autenticados excluam atributos de eventos sem possuir as permissões perm modify ou perm modify org necessárias. O problema ocorre porque a função MispAttribute::deleteAttribute() realiza verificações de associação à organização, mas não aplica consistentemente as regras de autorização de modificação de eventos. Isso cria uma discrepância onde a edição de atributos é corretamente restringida via ACL::canModifyEvent(), mas as operações de exclusão podem ignorar essas verificações. Um invasor autenticado que seja membro da organização proprietária de um evento pode explorar isso para remover atributos individuais ou em massa, levando à modificação não autorizada ou perda de dados de inteligência de ameaças.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.