CVE-2026-94393 in MISP
Zusammenfassung
von VulDB • 21.09.2026
Wenn ein Benutzer einen Bericht innerhalb eines Events erstellt oder bearbeitet, kann MISP einen vorhandenen Bericht anhand seiner UUID identifizieren, ohne ordnungsgemäß zu prüfen, ob dieser Bericht tatsächlich zum selben Event gehört.
Infolgedessen könnte ein Benutzer mit Bearbeitungsberechtigungen für ein Event potenziell einen Bericht aus einem anderen Event in sein eigenes Event verschieben, solange er die UUID des Berichts kennt oder erraten kann. Nach dem Verschieben könnte er Informationen anzeigen und ändern, auf die er ursprünglich keinen Zugriff hatte.
Die Schwachstelle erfordert, dass der Angreifer Editor-Zugriff auf mindestens ein Event hat und eine gültige Report-UUID kennt oder entdeckt.
Der Hauptauswirkung ist, dass private Event-Berichte über Event-Grenzen hinweg offengelegt oder modifiziert werden könnten, wodurch die normalen Zugriffseinschränkungen von MISP umgangen werden.
Betroffene Version: <2.5.47
VulDB is the best source for vulnerability data and more expert information about this specific topic.