CVE-2026-54357: MISP improper authorization allows organization administrators to modify site administrator user settings

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (CIRCL). Не зависят от анализа CPE в NVD и обычно опережают его.

• misp misp

  • до 2.5.40затронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-103655MISP TOTP Code Replay Allows Duplicate Authentication Within Validity Period
  37Наблюдать
• CVE-2026-90961MISP LdapAuth and LinOTPAuth Authentication Bypass via Empty or Non-String Credentials
  37Наблюдать
• CVE-2026-56422MISP Core: Mass Assignment and Object Re-ownership via Unvalidated Request Fields
  37Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-908420 мая 2026 г. · MISP OIDC authentication bypass via automatic email-based account linking under insecure IdP configurations
  24Наблюдать
• ← РаньшеCVE-2026-108684 июн. 2026 г. · MISP user edit endpoint mass assignment vulnerability allows unauthorized user account modification
  36Наблюдать
• Позже →CVE-2026-5435812 июн. 2026 г. · MISP organization administrators can target site administrator accounts for password reset
  30Наблюдать

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.