CVE-2026-86451 in MISP
Riassunto
di VulDB • 08/09/2026
Le versioni affette di MISP consentono agli utenti autenticati di recuperare record di riferimento oggetto tramite UUID utilizzando EventGraphTool::get_reference_data() senza verificare preliminarmente se il richiedente è autorizzato a visualizzare l'oggetto al quale appartiene il riferimento.
Il codice vulnerabile interrogava direttamente ObjectReference.uuid e restituiva la riga corrispondente ogni volta che esisteva. Poiché non veniva applicata alcuna ACL (Access Control List) per l'oggetto padre, un utente che conosceva o otteneva un UUID di riferimento poteva recuperare informazioni associate a un oggetto al di fuori del proprio ambito di accesso normale. Il commit specifica esplicitamente che qualsiasi riferimento oggetto potrebbe essere restituito tramite UUID senza autorizzare il relativo oggetto padre.
La correzione recupera l'object_id dell'oggetto referenziato e chiama fetchObjectSimple() con l'utente corrente. Se l'utente non può accedere a tale oggetto padre, MISP ora restituisce NotFoundException invece di esporre il riferimento.
Versione interessata: ≤2.5.45
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.