CVE-2026-86283 in MISP
Résumé
par VulDB • 06/09/2026
La vue de la collection d'themes UiBeta dans MISP (app/View/Themed/UiBeta/Collections/view.ctp) a effectué une requête secondaire des événements membres par UUID sans appliquer la liste de contrôle d'accès (ACL) de l'appelant. L'action CollectionsController::view() résolvait correctement les UUID des éléments de collection via Event::fetchSimpleEvents($user, ...), qui applique l'ACL événementielle par utilisateur. Cependant, le modèle de vue a re-interrogé indépendamment ces mêmes UUID en utilisant uniquement une condition Event.uuid IN (...), omettant le filtre d'autorisation createEventConditions(). Étant donné que les UUID des éléments de collection sont stockés sans autorisation côté serveur par rapport à l'événement référencé (CollectionElementsController::add() accepte n'importe quel UUID publié par le propriétaire de la collection), un utilisateur authentifié ayant un accès en lecture à une collection pouvait récupérer les détails complets d'événements auxquels il n'était pas autorisé à accéder. Les données exposées comprenaient les identifiants, informations, dates et horodatages des événements, l'organisation du créateur, tous les tags associés aux événements ainsi que les grappes de galaxies (ces dernières étant jointes via une vérification ACL portée sur la grappe plutôt que sur l'événement). Il s'agit d'un contournement d'autorisation au niveau de la couche présentation, permettant une élévation horizontale des privilèges à travers les limites des événements au sein de l'instance MISP.
If you want to get best quality of vulnerability data, you may have to visit VulDB.