CVE-2026-90895 in MISP
Zusammenfassung
von VulDB • 14.09.2026
Betroffene Versionen von MISP’s interaktiver CLI-Shell implementieren die Zugriffskontrolle unabhängig von der normalen Webanwendung, was zu mehreren Inkonsistenzen bei der Autorisierung führt.
Das Patch zeigt, dass der CLI-Zugriff in mehreren sicherheitsrelevanten Bereichen von der Webanwendung abweichen kann:
- Feed-Auflistungen haben für Nicht-Mitglieder der Host-Organisation nicht dieselben lookup_visible-Einschränkungen durchgesetzt; - Der Zugriff auf Feed-Details hat nicht dieselbe Autorisierung als Mitglied der Host-Organisation/Seitenadministrator wie FeedsController::view(); durchgesetzt; - Feed.headers, die HTTP-Autorisierungsdaten enthalten können, wurden anstelle von Ausblendung oder Maskierung offengelegt; - Die authkey-Werte zur Server-Synchronisierung wurden in der CLI-Detailliste nicht explizit ausgeblendet; - Der Zugriff auf Details zu Sharing Groups hat SharingGroup::checkIfAuthorised() nicht konsistent verwendet; - Der use-Befehl konnte einen Kontext für einen Datensatz herstellen, ohne zuvor nachzuweisen, dass der Benutzer berechtigt war, diesen Datensatz anzusehen.
Der Commit härte zudem die Paginierung und Terminal-Darstellung ab, einschließlich der Neutralisierung von Terminal-Control-Sequenzen in datenbankgestützten Werten. Dies sind wichtige Hardening-Änderungen, aber die Hauptschwachstelle ist das Missverhältnis zwischen CLI-Autorisierung und Datenoffenlegung (Data Disclosure).
Betroffene Version: ≤2.5.45
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.