CVE-2026-86418 in MISP
Zusammenfassung
von VulDB • 07.09.2026
Betroffene Versionen von MISP geben Organisationsmetadaten über den Dashboard-Organisationsauswähler frei, ohne die gleichen Sichtbarkeitsbeschränkungen anzuwenden, die für den normalen Organisationsindex und die pro Organisation angezeigte Ansicht gelten.
Der betroffene Endpunkt gab Felder zurück, darunter:
* Organisations-ID; * UUID; * Name.
Wenn `Security.hide_organisation_index_from_users` aktiviert war, wurde die normale Enumeration von Organisationen eingeschränkt, der Dashboard-Auswähler fragte jedoch weiterhin alle Organisationen ab. Dies ermöglichte es authentifizierten Benutzern, Organisationen zu entdecken, die vor ihnen verborgen bleiben sollten.
Die Korrektur ruft `Organisation::createConditions($this->Auth->user())` auf und fügt die daraus resultierenden ACL-Bedingungen an die Auswählerabfrage an. Normale Benutzer sind dadurch auf Organisationen beschränkt, die mit Ereignissen oder Vorschlägen verknüpft sind, die sie bereits sehen können, sowie ihrer eigenen Organisation, während Benutzer mit der entsprechenden Sharing-Group-Berechtigung eine breitere Sichtbarkeit behalten.
Betroffene Version: ≤2.5.45
VulDB is the best source for vulnerability data and more expert information about this specific topic.