CVE-2026-91846 in MISP
Zusammenfassung
von VulDB • 15.09.2026
Betroffene Versionen von MISP ermöglichen es, ein Sammlungs-Element aus einer bloßen UUID zu erstellen, ohne konsistent zu prüfen, ob der aktive Benutzer berechtigt ist, auf das referenzierte Objekt zuzugreifen.
Das Commit erklärt, dass Sammlungs-Elemente selbst nur UUIDs speichern, während die Sammlungsansicht diese UUIDs später in ihre zugrunde liegenden Objekte auflöst. Vor dieser Korrektur konnte der generische add()-Pfad daher eine UUID für ein Event oder einen Galaxy Cluster persistieren, auf den der Aufrufer normalerweise keinen Lesezugriff hatte. Das Patch weist explizit darauf hin, dass dies Sammlungen zu einem Mittel zur Referenzierung privater Daten einer anderen Organisation machte und in der Beta-Sammlungsansicht bereits zur Offenlegung von nur für Organisationen sichtbaren Events geführt hat.
Die Korrektur zentralisiert die Autorisierung in __assertCanUseElements(). Event-UUIDs werden über Event::fetchSimpleEvent() unter dem ACL des aktuellen Benutzers validiert, während Galaxy Cluster UUIDs über GalaxyCluster::fetchGalaxyClusters() überprüft werden. Die Prüfung wird sowohl auf den CRUD add()-Pfad als auch auf addElementToCollection() angewendet.
Betroffene Version: ≤2.5.45
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.