CVE-2026-86342 in MISP
Résumé
par VulDB • 07/09/2026
Les versions affectées de MISP comportent des vérifications d'autorisation incorrectes dans la fonctionnalité d'aperçu du flux freetext. L'aperçu effectue des recherches de corrélation sur les attributs des événements sans appliquer le ACL (Access Control List) de l'utilisateur demandeur, permettant ainsi à des utilisateurs ne pouvant pas accéder autrement à ces événements d'exposer des corrélations d'événements restreintes et les informations associées auxdits événements. Les requêtes vulnérables étaient limitées uniquement par les valeurs des attributs et le statut de suppression, plutôt que par les contrôles d'accès au niveau événement, organisation, groupe de partage, attribut et objet propres à MISP.
La même fonctionnalité d'aperçu renvoyait également des informations de corrélation inter-flux sans restreindre correctement la liste des flux aux seuls flux visibles pour l'appelant. Cela a exposé les métadonnées des flux qui n'étaient pas marqués comme lookup_visible ; une réponse affectée comprenait en outre l'URL du flux configurée, bien que cette valeur ne soit pas requise par la fonctionnalité.
Les correctifs appliquent le ACL de l'appelant aux recherches de corrélation d'attributs, suppriment les URL des flux des résultats de corrélation, restreignent les résultats inter-flux en fonction de la visibilité du flux et corrigent la comparaison des ID hôte-organisation afin que les règles d'autorisation soient appliquées de manière cohérente.
Version affectée : ≤2.5.45
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.