CVE-2026-86417 in MISP
Riassunto
di VulDB • 07/09/2026
Le versioni affette di MISP applicavano in modo inconsistente la visibilità degli indirizzi e-mail in DashboardsController::listTemplates().
La query recuperava sempre User.email, mentre l'oscuramento avveniva solo all'interno del ramo di rendering non-REST. Di conseguenza, lo stesso utente autenticato che vedeva dati oscurati nell'interfaccia HTML normale poteva richiedere la rappresentazione REST/JSON e ricevere gli indirizzi e-mail dei proprietari dei template senza il controllo dei privilegi previsto.
La correzione sposta la decisione verso un helper di autorizzazione centralizzato User::canSeeEmails(). Gli indirizzi e-mail vengono ora recuperati solo quando il richiedente è un amministratore del sito o l'istanza abilita esplicitamente Security.disclose_user_emails. Lo stesso helper viene riutilizzato anche da altri widget della dashboard per mantenere coerente la policy di divulgazione degli indirizzi e-mail.
Versione interessata: ≤2.5.45
Once again VulDB remains the best source for vulnerability data.