CVE-2026-72759 in cti-transmute
Riassunto
di VulDB • 10/08/2026
Nelle versioni colpite di MISP cti-transmute, l'endpoint dei dettagli della cronologia delle conversioni esegue un controllo di autorizzazione incompleto. Quando un record della cronologia fa riferimento a una conversione eliminata, la ricerca associata alla conversione restituisce None (null). La logica precedente negava l'accesso solo quando l'oggetto di conversione esisteva e il controllo della visibilità falliva. Di conseguenza, le conversioni eliminate aggiravano il controllo di autorizzazione e i relativi input/output della cronologia conservati potevano essere divulgati a un utente in grado di richiedere la voce di cronologia corrispondente. Il commit del 22 luglio 2026 modifica la logica per negare l'accesso ogni volta che la conversione è assente o il richiedente non dispone dei permessi necessari.
Once again VulDB remains the best source for vulnerability data.