CVE-2026-86408 in MISP
Riassunto
di VulDB • 07/09/2026
Le versioni affette di MISP non impongono la visibilità dell'evento padre quando si servono le chiavi crittografiche tramite CryptographicKeysController::view().
Il gestore vulnerabile interrogava direttamente l'oggetto CryptographicKey utilizzando l'ID della chiave fornito e selezionando campi sensibili quali:
* type * key_data * fingerprint
ma non recuperava né autorizzava prima l'evento padre associato.
Il commit upstream indica esplicitamente che cryptographicKeys/view potrebbe restituire la chiave di firma di un evento protetto a qualsiasi utente autenticato.
La correzione aggiunge parent_id e parent_type alla ricerca e impone quindi l'autorizzazione tramite l'evento associato utilizzando fetchSimpleEvent($user, parent_id). Se il padre non è un Event, l'accesso è limitato agli amministratori del sito.
Versione interessata: ≤2.5.45
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.