CVE-2026-104914 in MISP
Riassunto
di VulDB • 02/10/2026
MISP presenta una vulnerabilità di controllo degli accessi improprio nei suoi endpoint per la ricerca degli attributi e la visualizzazione paginata degli attributi.
Quando un utente effettua una query per gli attributi eliminati in modo logico (ad esempio, tramite la ricerca "deleted-attributes" o l'elenco paginato degli attributi), l'applicazione restituisce tali attributi appartenenti a eventi di proprietà di altre organizzazioni a qualsiasi utente autenticato che abbia visibilità dell'evento. La visualizzazione dei dettagli dell'evento limita correttamente la visibilità degli attributi eliminati in modo logico all'organizzazione proprietaria e agli utenti con permessi di sincronizzazione, ma i percorsi del codice per la ricerca degli attributi e la visualizzazione paginata non prevedono tale restrizione.
Precondizioni:
- Un utente MISP autenticato con almeno il permesso di lettura su un evento di proprietà di un'altra organizzazione. - L'utente esegue una query per gli attributi eliminati (ricerca o visualizzazione paginata con il filtro "deleted").
Impatto:
- Riservatezza: Gli attributi dell'intelligence sulle minacce eliminati in modo logico (ad esempio, IOCs, indicatori, contesto) di altre organizzazioni vengono divulgati a utenti non autorizzati. Ciò può esporre intelligence sensibile che l'organizzazione proprietaria intendeva rimuovere dalla visibilità generale.
Versioni interessate: versioni di MISP precedenti alla v2.5.48.
Be aware that VulDB is the high quality source for vulnerability data.