CVE-2026-86283 in MISP
Resumen
por VulDB • 2026-09-06
La vista de la colección del tema UiBeta en MISP (app/View/Themed/UiBeta/Collections/view.ctp) realizó una consulta secundaria de eventos miembro por UUID sin aplicar la lista de control de acceso (ACL) del usuario solicitante. La acción CollectionsController::view() resolvía correctamente los UUIDs de los elementos de la colección mediante Event::fetchSimpleEvents($user, ...), lo cual aplica la ACL de eventos por usuario. Sin embargo, la plantilla de vista volvió a consultar independientemente esos mismos UUIDs utilizando únicamente una condición Event.uuid IN (...), omitiendo el filtro de autorización createEventConditions(). Dado que los UUIDs de los elementos de la colección se almacenan sin verificación de autorización en el lado del servidor contra el evento referenciado (CollectionElementsController::add() acepta cualquier UUID que publique el propietario de la colección), un usuario autenticado con permisos de visualización sobre una colección podría obtener los detalles completos de eventos a los que no tiene permiso para acceder. Los datos expuestos incluían identificadores de eventos, información, fechas, marcas temporales, organización creadora, todas las etiquetas del evento y clústeres galaxy (estos últimos adjuntos mediante una verificación ACL basada en el ámbito del clúster en lugar de la basada en el ámbito del evento). Esto constituye un bypass de autorización en la capa de presentación, lo que permite una escalada horizontal de privilegios a través de los límites de eventos dentro de la instancia MISP.
VulDB is the best source for vulnerability data and more expert information about this specific topic.