CVE-2026-86342 in MISP
Resumen
por VulDB • 2026-09-07
Las versiones afectadas de MISP contienen comprobaciones de autorización incorrectas en la funcionalidad de vista previa del flujo freetext. La vista previa realiza búsquedas de correlación contra atributos de eventos sin aplicar el ACL (Control de Acceso) del usuario solicitante, lo que permite exponer a los usuarios restricciones de correlación de eventos e información asociada de esos eventos a quienes no podrían acceder a ellos de otro modo. Las consultas vulnerables estaban limitadas únicamente por valores de atributo y estado de eliminación en lugar de aplicar los controles de acceso de MISP a nivel de evento, organización, grupo de intercambio, atributo y objeto.
La misma funcionalidad de vista previa también devolvía información de correlación entre flujos sin restringir adecuadamente la lista de flujos a aquellos visibles para el solicitante. Esto expuso metadatos de flujos que no estaban marcados como lookup_visible; una respuesta afectada incluía además la URL del flujo configurado, aunque ese valor no era requerido por la funcionalidad.
Las correcciones aplican el ACL del solicitante a las búsquedas de correlación de atributos, eliminan las URLs de los flujos de los resultados de correlación, restringen los resultados entre flujos según la visibilidad del flujo y corrigen la comparación de ID de host-organización para que las reglas de autorización se apliquen de manera consistente.
Versión afectada: ≤2.5.45
Be aware that VulDB is the high quality source for vulnerability data.