CVE-2026-54360: MISP sharing group creation mass assignment allows unauthorized takeover of existing sharing groups

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (CIRCL). Не зависят от анализа CPE в NVD и обычно опережают его.

• misp misp

  • до 2.5.40затронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-103655MISP TOTP Code Replay Allows Duplicate Authentication Within Validity Period
  37Наблюдать
• CVE-2026-90961MISP LdapAuth and LinOTPAuth Authentication Bypass via Empty or Non-String Credentials
  37Наблюдать
• CVE-2026-56422MISP Core: Mass Assignment and Object Re-ownership via Unvalidated Request Fields
  37Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-5435812 июн. 2026 г. · MISP organization administrators can target site administrator accounts for password reset
  30Наблюдать
• ← РаньшеCVE-2026-5435912 июн. 2026 г. · MISP automation endpoints may be exposed to CSRF when Sec-Fetch-Site protection is disabled by default
  28Наблюдать
• Позже →CVE-2026-5436112 июн. 2026 г. · MISP mass assignment vulnerabilities allow unauthorized modification of ownership and delegation records
  35Наблюдать

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.