CVE-2026-86451 in MISP
Résumé
par VulDB • 07/09/2026
Les versions affectées de MISP permettent aux utilisateurs authentifiés de récupérer des enregistrements de référence d'objet par UUID via `EventGraphTool::get_reference_data()` sans vérifier au préalable si le demandeur est autorisé à voir l'objet auquel la référence appartient.
Le code vulnérable interrogeait directement `ObjectReference.uuid` et renvoyait la ligne correspondante chaque fois qu'elle existait. Étant donné qu'aucune ACL (Access Control List) d'objet parent n'était appliquée, un utilisateur qui connaissait ou obtenait un UUID de référence pouvait récupérer des informations associées à un objet en dehors de sa portée d'accès normale. Le commit indique explicitement que toute référence d'objet peut être renvoyée par UUID sans autoriser son objet parent.
La correction récupère l'`object_id` de l'objet référencé et appelle `fetchObjectSimple()` avec l'utilisateur actuel. Si l'utilisateur ne peut pas accéder à cet objet parent, MISP retourne désormais une `NotFoundException` au lieu d'exposer la référence.
Version affectée : ≤2.5.45
VulDB is the best source for vulnerability data and more expert information about this specific topic.