CVE-2026-56422: MISP: IDOR por identificadores controlados pelo cliente em rotas de gravação
A CVE-2026-56422 afeta diversos controladores principais e caminhos de captura de modelos do MISP, nos quais chaves primárias e chaves estrangeiras de propriedade ou escopo enviadas pelo cliente não eram consistentemente fixadas ao objeto autorizado. Um usuário autenticado com acesso a um objeto poderia, em caminhos afetados, fazer o MISP gravar dados em outro objeto. O registro informa pontuação CVSS 4.0 de 9.4 fornecida pela CNA, ausência de inclusão no KEV e nenhuma faixa de versões afetadas ou corrigidas.
Visão geral
A CVE-2026-56422 é um problema de autorização quebrada no nível de objeto, classificado como CWE-639 (bypass de autorização por chave controlada pelo usuário). O registro informa que diversos controladores principais e caminhos de captura de modelos do MISP aceitavam identificadores enviados pelo cliente sem removê-los, fixá-los ou revalidá-los de forma consistente em relação ao objeto autorizado pelo servidor.
Impacto
Um usuário autenticado com acesso a um objeto autorizado poderia, em caminhos afetados, enviar requisições REST ou de formulário elaboradas que faziam o MISP gravar dados em outro objeto. Conforme o endpoint, o registro lista possíveis consequências, como sobrescrita de objetos, troca de objeto pai, transferência de propriedade, escopo de compartilhamento não autorizado, injeção de evento ou objeto, redirecionamento de propostas e conteúdo armazenado aparecendo no contexto de outro usuário.
Produtos e versões afetados
O produto afetado é o MISP. O registro não informa faixas de versões afetadas ou corrigidas e não enumera os endpoints vulneráveis específicos.
- Produto afetado: MISP
- Versões afetadas: desconhecidas com base no registro
- Versões corrigidas: desconhecidas com base no registro
O registro referencia múltiplos commits do MISP no GitHub. Os operadores devem usar esses commits e o projeto upstream para determinar os limites exatos de versão.
Status de exploração
A vulnerabilidade não consta no catálogo KEV da CISA, conforme o registro. Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise. Esse status pode mudar, por isso deve ser reavaliado conforme novas informações forem publicadas.
Correção e mitigação
O registro descreve correções que removem chaves primárias enviadas pelo cliente em salvamentos somente de criação, fixam novamente identificadores autorizados antes das operações de salvamento, validam o escopo efetivo de compartilhamento e aplicam listas brancas de campos a atributos de propriedade. O patch upstream para o problema central em CRUDComponent::edit() está referenciado no commit 7acf8220 no GitHub.
- Identifique a versão do MISP que inclui esses commits e planeje a atualização.
- Restrinja a criação de contas e o acesso de usuários até que a atualização seja aplicada, já que a exploração exige uma conta autenticada.
- Revise a configuração de organizações e grupos de compartilhamento de usuários com amplos direitos de edição.
Orientações de detecção
- Revise os logs de auditoria de operações de criação e edição em que o identificador do registro salvo difere do objeto ao qual o usuário estava autorizado.
- Observe alterações inesperadas em associações de propriedade, organização, grupo de compartilhamento ou evento pai de objetos existentes.
- Monitore conteúdo que aparece no escopo de um usuário mas foi criado ou modificado a partir do contexto de outro usuário.
Limitações das informações disponíveis
O registro não fornece números de versões afetadas ou corrigidas, lista de endpoints vulneráveis específicos, dados de EPSS ou SSVC, nem detalhes de exploração observada. A pontuação CVSS 4.0 de 9.4 é fornecida pela CNA, e as métricas ambientais e de ameaça do vetor estão definidas como X (não definido). Esta análise se baseia apenas no registro e nas referências citadas.
Perguntas frequentes
O que é a CVE-2026-56422?
É um bypass de autorização (IDOR, CWE-639) em diversos controladores principais e caminhos de captura de modelos do MISP, nos quais identificadores enviados pelo cliente não eram consistentemente fixados ao objeto autorizado.
Há exploração ativa confirmada da CVE-2026-56422?
O registro não mostra inclusão no KEV, e nenhuma exploração confirmada aparece nas fontes consultadas para esta análise. O status deve ser reavaliado conforme novas informações forem publicadas.
Quais versões do MISP são afetadas?
O registro não informa faixas de versões afetadas ou corrigidas. Use os commits do MISP referenciados e o projeto upstream para determinar os limites exatos.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.