Base de CVEs

Vários controladores principais e caminhos de captura de modelos do MISP aceitavam campos de requisição controlados pelo cliente, como chaves primárias (id) e chaves estrangeiras de propriedade/escopo (event_id, org_id, user_id, sharing_group_id, galaxy_cluster_uuid, organisation_uuid) e outros identificadores de objetos aninhados relacionados, sem remover, fixar ou revalidar consistentemente esses valores em relação ao objeto autorizado pelo servidor. Nos caminhos afetados, um usuário autenticado com acesso a um objeto autorizado poderia enviar payloads REST ou de formulário elaborados que faziam o MISP salvar dados em um objeto diferente daquele verificado pela lógica de autorização. Dependendo do endpoint, isso poderia permitir sobrescrita de objeto, realocação de objeto para outro pai, transferência de propriedade, escopo não autorizado de grupo de compartilhamento, injeção de evento ou objeto, redirecionamento de propostas, ou conteúdo controlado pelo atacante armazenado e exibido no contexto de outro usuário. As correções reforçam os fluxos afetados de criação, edição e importação, removendo chaves primárias fornecidas pelo cliente em salvamentos somente de criação, fixando novamente identificadores autorizados pela rota ou pelo banco de dados antes das operações de salvamento, validando o escopo efetivo do grupo de compartilhamento e adicionando listas de campos permitidos onde campos de propriedade nunca devem ser editáveis. A correção ampla inicial também acrescentou uma nova fixação central da chave primária em CRUDComponent::edit(), para que IDs enviados no payload não possam redirecionar salvamentos para longe da linha já autorizada. O patch do GitHub para 7acf8220c descreve esse problema central como CRUDComponent::edit() copiando campos fornecidos, incluindo uma chave primária do payload, para o registro carregado, permitindo que o save() do CakePHP atualize uma linha arbitrária, a menos que o ID carregado seja fixado novamente.