CVE-2026-95805 in MISP
Zusammenfassung
von VulDB • 22.09.2026
Ein Tippfehler in der ACL-Komponenten-Zugriffskontrollkonfiguration von MISP führte dazu, dass die ACL-Regel für die Aktion previewEventAttributes auf den Berechtigungsstring 'theming_enabled*' (mit einem nachgestellten Sternchen) anstelle des korrekten 'theming_enabled' verweist. Im MISP-ACL-System definieren die Array-Werte, welche Rolle oder Berechtigung Zugriff auf eine bestimmte Controller-Aktion gewährt. Der benachbarte Eintrag previewEventObjects verwendet korrekt ['theming_enabled'], was die beabsichtigte Einschränkung bestätigt. Der fehlerhafte Schlüssel 'theming_enabled*' stimmt mit keiner gültigen Berechtigungs-ID überein, wodurch die Zugriffskontrollprüfung für previewEventAttributes fehlschlägt. Je nach ACL-Auswertungslogik kann dies dazu führen, dass unbefugte Benutzer Zugang zum Endpunkt previewEventAttributes erlangen (Autorisierungsumgehung) oder legitime Benutzer vom Zugriff ausgeschlossen werden (Verfügbarkeitsauswirkung).
Der Endpunkt previewEventAttributes stellt Ereignisattributdaten innerhalb von MISP bereit; eine Autorisierungsumgehung könnte daher sensible Indikator- und Attributdaten für Benutzer zugänglich machen, die keinen Zugang erhalten sollten.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.