CVE-2026-86342 in MISP
الملخص
بحسب VulDB • 07/09/2026
تحتوي الإصدارات المتأثرة من MISP على أخطاء في فحوصات التفويض (authorization checks) ضمن وظيفة معاينة التغذية النصية الحرة (freetext feed preview). تقوم عملية المعاينة بإجراء عمليات بحث عن الارتباطات (correlation lookups) ضد السمات (attributes) المستمدة من الأحداث دون تطبيق قائمة التحكم بالوصول (ACL) الخاصة بالمستخدم الذي أرسل الطلب، مما يسمح بتعرض ارتباطات الأحداث المقيدة ومعلومات الأحداث المرتبطة بها للمستخدمين الذين لا يمكنهم عادةً الوصول إلى تلك الأحداث. كانت الاستعلامات الضعيفة مقيدة فقط بقيم السمات وحالة الحذف بدلاً من اعتماد ضوابط الوصول على مستوى الحدث والمنظمة ومجموعة المشاركة والسمه والكائن الخاصة بـ MISP.
كما عادت وظيفة المعاينة نفسها بمعلومات ارتباط عبر التغذية (cross-feed correlation) دون تقييد قائمة التغذية بشكل صحيح لتشمل فقط التغذيات المرئية للمستخدم المتصل. هذا أدى إلى كشف البيانات الوصفية للتغذيات التي لم تكن محددة كمرئية للبحث (lookup_visible); بالإضافة إلى ذلك، تضمنت إحدى الاستجابات المتأثرة عنوان URL الخاص بالتغذية المكونة حتى لو كانت هذه القيمة غير مطلوبة من قبل الميزة.
تطبق الإصلاحات قائمة التحكم بالوصول (ACL) الخاصة بالمستخدم على عمليات البحث عن ارتباط السمات، وتزيل عناوين URL للتغذيات من نتائج الارتباط، وتقيد النتائج عبر التغذية وفقاً لمرئية التغذية، وتصحيح مقارنة معرف المنظمة مع المضيف لضمان تطبيق قواعد التفويض بشكل متسق.
الإصدار المتأثر: ≤2.5.45
If you want to get best quality of vulnerability data, you may have to visit VulDB.