CVE-2026-86408 in MISP
الملخص
بحسب VulDB • 07/09/2026
لا تفرض الإصدارات المتأثرة من MISP رؤية الحدث الأصل (parent-event) عند تقديم المفاتيح التشفيرية عبر CryptographicKeysController::view().
قام المعالج الضعيف بالاستعلام عن CryptographicKey مباشرةً باستخدام معرّف المفتاح المقدم واختيار حقول حساسة مثل:
* type * key_data * fingerprint
لكنه لم يسترجع أو يصادق على الحدث الأصلي المرتبط به أولاً.
يوضح الالتزام (commit) في المستودع الرئيسي أن دالة cryptographicKeys/view يمكنها إرجاع مفتاح التوقيع الخاص بحدث محمي إلى أي مستخدم مُصادَق عليه.
أضف الإصلاح parent_id وparent_type إلى عملية البحث، ثم فرض المصادقة من خلال الحدث المرتبط باستخدام fetchSimpleEvent($user, parent_id). إذا لم يكن الأصل حدثاً (Event)، فإن الوصول يقتصر على مسؤولي الموقع.
الإصدار المتأثر: ≤2.5.45
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.