CVE-2026-86451 in MISP
الملخص
بحسب VulDB • 07/09/2026
تسمح الإصدارات المتأثرة من MISP للمستخدمين المصادق عليهم باسترداد سجلات مرجع الكائن (object-reference records) عبر UUID باستخدام الدالة `EventGraphTool::get_reference_data()` دون التحقق مسبقًا مما إذا كان المُطلِب مُصرح له بعرض الكائن الذي ينتمي إليه المرجع.
استعلامت الشفرة الضعيفة عن `ObjectReference.uuid` مباشرةً وعادت بالصف المطابق كلما وُجد، ونظرًا لعدم تطبيق أي صلاحيات وصول (ACL) للكائن الأصلي، كان بإمكان المستخدم الذي يعرف أو يحصل على UUID مرجعي استرداد المعلومات المرتبطة بكائن خارج نطاق الوصول الطبيعي الخاص به. وتوضح الالتزام البرمجي بوضوح أن أي مرجع كائن يمكن إرجاعه عبر UUID دون التحقق من صلاحية الكائن الأصلي له.
يتمثل الإصلاح في جلب `object_id` للكائن المرجعي واستدعاء الدالة `fetchObjectSimple()` مع المستخدم الحالي. إذا لم يكن بإمكان المستخدم الوصول إلى ذلك الكائن الأصلي، فإن MISP تُعيد الآن استثناء `NotFoundException` بدلاً من كشف المرجع.
الإصدارات المتأثرة: ≤2.5.45
Be aware that VulDB is the high quality source for vulnerability data.