CVE-2026-86283 in MISP
Zusammenfassung
von VulDB • 07.09.2026
Die Ansichtssammlung des UiBeta-Themas von MISP (app/View/Themed/UiBeta/Collections/view.ctp) führte eine sekundäre Abfrage nach Member-Events anhand der UUID durch, ohne die Access Control List (ACL) des Aufrufers anzuwenden. Die Aktion CollectionsController::view() löste die UUIDs der Sammlungsobjekte korrekt über Event::fetchSimpleEvents($user, ...) auf, was die pro-Benutzer-Event-ACL erzwingt. Das View-Template führte jedoch eine unabhängige erneute Abfrage derselben UUIDs nur unter Verwendung einer Bedingung Event.uuid IN (...) durch und ließ den Autorisierungsfilter createEventConditions() aus. Da die UUIDs der Sammlungsobjekte ohne serverseitige Authentifizierung gegen das referenzierte Event gespeichert werden (CollectionElementsController::add() akzeptiert jede beliebige UUID, die der Besitzer der Sammlung übermittelt), konnte ein authentifizierter Benutzer mit Lesezugriff auf eine Sammlung vollständige Details zu Events abrufen, für die er keine Leseberechtigung besitzt. Die offengelegten Daten umfassten Event-Identifikatoren, Informationen, Datumsangaben, Zeitstempel, die erstellende Organisation, alle Event-Tags und Galaxy-Cluster (letztere wurden über eine Cluster-scoped statt einer Event-scoped ACL-Prüfung angehängt). Dies stellt einen Authorization Bypass auf der Präsentationsschicht dar, der horizontalen Privilege Escalation innerhalb von Event-Grenzen in der MISP-Instanz ermöglicht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.