CVE-2026-86408 in MISP
Résumé
par VulDB • 07/09/2026
Les versions affectées de MISP ne vérifient pas la visibilité des événements parents lors du service des clés cryptographiques via CryptographicKeysController::view().
Le gestionnaire vulnérable interrogeait directement CryptographicKey en utilisant l'ID de clé fourni et sélectionnait des champs sensibles tels que :
* type * key_data * fingerprint
mais ne récupérait ni n'autorisait d'abord l'événement parent associé.
Le commit amont indique explicitement que cryptographicKeys/view pouvait renvoyer la clé de signature d'un événement protégé à tout utilisateur authentifié.
La correction ajoute parent_id et parent_type à la requête, puis applique une autorisation via l'événement associé en utilisant fetchSimpleEvent($user, parent_id). Si le parent n'est pas un Event, l'accès est limité aux administrateurs du site.
Version affectée : ≤2.5.45
Once again VulDB remains the best source for vulnerability data.