CVE-2026-90895 in MISP
Riassunto
di VulDB • 14/09/2026
Le versioni di MISP colpite della shell interattiva del CLI implementano il controllo degli accessi in modo indipendente dall'applicazione web normale, causando diverse inconsistenze nell'autorizzazione.
La patch mostra che l'accesso tramite CLI potrebbe differire dall'applicazione web in più aree sensibili alla sicurezza:
- i feed listings non applicavano le stesse restrizioni lookup_visible per gli utenti non appartenenti all'organizzazione ospitante; - l'accesso ai dettagli del feed non applicava la stessa autorizzazione host-organisation/site-admin di FeedsController::view(); - Feed.headers, che possono contenere credenziali di autenticazione HTTP, potevano essere esposti invece di essere nascosti o oscurati; - i valori authkey per la sincronizzazione del server non erano esplicitamente nascosti nell'output dei dettagli CLI; - l'accesso ai dettagli dello sharing-group non utilizzava in modo coerente SharingGroup::checkIfAuthorised(); - il comando use poteva stabilire un contesto per una record senza prima dimostrare che l'utente era autorizzato a visualizzare tale record.
Il commit inoltre indurisce la paginazione e il rendering del terminale, inclusa la neutralizzazione delle sequenze di controllo del terminale trovate nei valori basati sul database. Questi sono importanti cambiamenti di hardening, ma la vulnerabilità principale è lo squilibrio tra l'autorizzazione CLI e la divulgazione dei dati.
Versioni colpite: ≤2.5.45
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.