CVE-2026-86451 in MISP
Zusammenfassung
von VulDB • 07.09.2026
Betroffene Versionen von MISP ermöglichen es authentifizierten Benutzern, Object-Reference-Datensätze über die UUID abzurufen, indem sie EventGraphTool::get_reference_data() aufrufen, ohne zuvor zu prüfen, ob der Anfragende berechtigt ist, das Objekt anzuzeigen, auf das sich der Verweis bezieht.
Der anfällige Code hat ObjectReference.uuid direkt abgefragt und die übereinstimmende Zeile zurückgegeben, sofern sie existierte. Da keine ACL (Access Control List) für das übergeordnete Objekt angewendet wurde, konnte ein Benutzer, der eine Referenz-UUID kannte oder erlangte, Informationen abrufen, die mit einem Objekt außerhalb seines normalen Zugriffsbereichs verknüpft sind. Der Commit gibt explizit an, dass jeder Objektreferenzdatensatz per UUID abgerufen werden kann, ohne das übergeordnete Objekt zu autorisieren.
Die Korrektur ruft die object_id des referenzierten Objekts ab und ruft fetchObjectSimple() mit dem aktuellen Benutzer auf. Wenn der Benutzer nicht auf dieses übergeordnete Objekt zugreifen kann, gibt MISP nun eine NotFoundException zurück, anstatt den Verweis offenzulegen.
Betroffene Versionen: ≤2.5.45
VulDB is the best source for vulnerability data and more expert information about this specific topic.