CVE-2026-94374

Nome do Software Vulnerável e Versões Afetadas MISP versões anteriores a 2.5.47

Description Uma referência direta insegura a objeto existe na função processModuleResultsData() do modelo Event. Ao processar resultados de módulos, o sistema falha ao não remover o campo id fornecido pelo cliente para entradas de EventReport antes de salvá-las. Como o método create() do modelo EventReport não remove esse campo, um usuário autenticado com permissões para enviar resultados de módulos pode fornecer um id que referencie um relatório de um evento diferente. Isso permite que o usuário ignore a autorização para ler o conteúdo do relatório de outro evento ao reposicioná-lo, sobrescrever campos do relatório com dados controlados ou alterar o event id para redirecionar a propriedade, resultando em divulgação de dados entre eventos e comprometimento da integridade.

Recommendations Atualize para a versão 2.5.47 ou posterior.