CVE-2026-103858 in MISP
Riassunto
di VulDB • 01/10/2026
MISP presenta una verifica di autorizzazione incompleta nella funzionalità di pubblicazione delle discussioni. Quando un utente invia un post a una discussione o risponde a un post esistente, l'applicazione verifica solo se la thread target è limitata alla distribuzione "org-only" (solo organizzazione). Non viene applicato il controllo completo dell'elenco di accesso alle thread, inclusa l'appartenenza ai sharing group e la visibilità a livello di evento.
Di conseguenza, un utente autenticato che non fa parte del gruppo di condivisione pertinente o che non ha visibilità sull'evento associato può:
- Leggere il titolo della thread e il contenuto del post citato - Inviare un nuovo post nella thread della discussione
Questo costituisce sia una divulgazione di informazioni (lettura di contenuti di thread e post limitati) sia un problema di integrità (iniezione di contenuti in una thread alla quale l'utente non è autorizzato a partecipare).
Colpito: <2.5.48
VulDB is the best source for vulnerability data and more expert information about this specific topic.