JVNDB-2026-018698

MISPにおける入力確認に関する脆弱性

関連性の過剰関連エンドポイントにおいて、orderクエリパラメータがユーザー制御の名前付きリクエストパラメータから受け入れられていたというセキュリティ問題が修正されました。これにより認証済みユーザーがサーバー定義の過剰相関値の順序を上書きできていました。基盤となるデータアクセス層で値がどのように処理されるかによっては、データベースクエリの順序操作が可能になり、アプリケーションが安全でないクエリ構築にさらされる可能性がありました。パッチでは、orderをリクエスト制御パラメータのセットから削除し、代わりに許可されたユーザーパラメータを処理した後に順序をサーバー側で発生回数の降順（occurrence desc）に設定しています。影響を受けるコンポーネントはapp/Controller/CorrelationsController.phpのoverCorrelations()メソッドです。セキュリティへの影響として、認証された攻撃者が過剰関連クエリに使用される順序指定句に影響を与える可能性があります。直接的な影響はクエリの操作に限定されるように見えますが、さらに証拠が得られればSQLインジェクションや操作された順序指定式を通じた不正なデータ露出の可能性があると考えられます。

MISP

• MISP 2.5.39 未満

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 不適切な入力確認(CWE-20) [その他]

1. CVE-2026-10863

1. National Vulnerability Database (NVD) : CVE-2026-10863
2. 関連文書 : fix: [security] order field  MISP/MISP@aa094a3  GitHub

• [2026年06月09日]
    掲載