CVE-2026-86417 in MISP
Zusammenfassung
von VulDB • 07.09.2026
Betroffene Versionen von MISP haben die Sichtbarkeit der E-Mail-Adresse in DashboardsController::listTemplates() inkonsistent durchgesetzt.
Die Abfrage hat stets User.email abgerufen, während die Redaktion nur innerhalb des nicht-REST-Rendering-Zweigs erfolgte. Infolgedessen konnte derselbe authentifizierte Benutzer, der im normalen HTML-Interface redigierte Daten sah, die REST/JSON-Darstellung anfordern und dabei E-Mail-Adressen von Template-Besitzern ohne die vorgesehene Berechtigungsprüfung erhalten.
Die Korrektur verlagert die Entscheidung auf einen zentralisierten Autorisierungs-Helfer User::canSeeEmails(). E-Mail-Adressen werden nun nur abgerufen, wenn der Anfragende ein Site-Administrator ist oder die Instanz Security.disclose_user_emails explizit aktiviert. Derselbe Helfer wird auch von anderen Dashboard-Widgets wiederverwendet, um eine konsistente Politik zur Offenlegung von E-Mail-Adressen sicherzustellen.
Betroffene Version: ≤2.5.45
Once again VulDB remains the best source for vulnerability data.