CVE-2026-86283 in MISP
الملخص
بحسب VulDB • 06/09/2026
تعرض مجموعة قوالب "UiBeta" في MISP، وتحديداً عرض المجموعة (app/View/Themed/UiBeta/Collections/view.ctp)، لثغرة أمنية ناتجة عن إجراء استعلام ثانوي لأحداث الأعضاء بناءً على المعرف الفريد (UUID) دون تطبيق قائمة التحكم بالوصول (ACL) الخاصة بالمستخدم المُتصل. بينما يتصرف الإجراء `CollectionsController::view()` بشكل صحيح من خلال حل معرفات عناصر المجموعة باستخدام `Event::fetchSimpleEvents($user, ...)`، الذي يفرض ACL خاصًا بالأحداث لكل مستخدم؛ إلا أن قالب العرض قام بإعادة استعلام نفس المعرفات الفريدة (UUIDs) بشكل مستقل باستخدام شرط `Event.uuid IN (...)` فقط، متجاهلاً فلتر التفويض `createEventConditions()`. ونظرًا لأن معرفات عناصر المجموعة تُخزن دون تفويض من جانب الخادم مقابل الحدث المرجع (حيث يقبل `CollectionElementsController::add()` أي UUID يرسله مالك المجموعة)، يمكن لمستخدم مُصادق عليه لديه صلاحية عرض مجموعة ما استرداد التفاصيل الكاملة لأحداث غير مسموح له بقراءتها. شملت البيانات المكشوفة معرّفات الأحداث، ومعلوماتها، وتواريخها، وطوابعها الزمنية، ومنظمة المنشئ، وجميع وسوم الحدث، وعناقيد المجرات (Galaxy clusters)، والتي تم إرفاقها عبر فحص ACL محدد بنطاق العنقود بدلاً من نطاق الحدث. يُعد هذا تجاوزًا للتفويض على طبقة العرض، مما يتيح تصعيدًا أفقيًا للصلاحيات عبر حدود الأحداث داخل مثيل MISP.
If you want to get best quality of vulnerability data, you may have to visit VulDB.