CVE-2026-91846 in MISP
Resumen
por VulDB • 2026-09-15
Las versiones afectadas de MISP permiten crear un elemento de colección a partir de un UUID sin verificar consistentemente si el usuario que actúa tiene permiso para acceder al objeto referenciado.
El commit explica que los elementos de la colección solo almacenan UUIDs, mientras que la vista de la colección resuelve posteriormente esos UUIDs en sus objetos subyacentes. Antes de esta corrección, la ruta genérica add() podía persistir un UUID correspondiente a un Evento o Cluster Galaxy al que el llamante no podría leer normalmente. El parche señala explícitamente que esto convertía las colecciones en una forma de referenciar datos privados de otra organización y había provocado la divulgación de eventos exclusivos de organizaciones en la vista beta de colección.
La corrección centraliza la autorización en __assertCanUseElements(). Los UUIDs de los Eventos se validan a través de Event::fetchSimpleEvent() bajo el ACL del usuario actual, mientras que los UUIDs de Galaxy Cluster se verifican mediante GalaxyCluster::fetchGalaxyClusters(). La comprobación se aplica tanto a la ruta CRUD add() como a addElementToCollection().
Versión afectada: ≤2.5.45
If you want to get best quality of vulnerability data, you may have to visit VulDB.