CVE-2026-86451 in MISP
Resumen
por VulDB • 2026-09-07
Las versiones afectadas de MISP permiten a los usuarios autenticados recuperar registros de referencia de objetos mediante UUID utilizando EventGraphTool::get_reference_data() sin verificar previamente si el solicitante está autorizado para ver el objeto al que pertenece la referencia.
El código vulnerable consultaba ObjectReference.uuid directamente y devolvía la fila coincidente siempre que existiera. Dado que no se aplicó ninguna ACL (Control de Acceso Basado en Roles) del objeto padre, un usuario que conociera u obtuviera un UUID de referencia podía recuperar información asociada a un objeto fuera de su ámbito normal de acceso. El commit indica explícitamente que cualquier referencia de objeto podría ser devuelta por UUID sin autorizar su objeto padre.
La corrección recupera el object_id del objeto referenciado y llama a fetchObjectSimple() con el usuario actual. Si el usuario no puede acceder a ese objeto padre, MISP ahora devuelve NotFoundException en lugar de exponer la referencia.
Versión afectada: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.