CVE-2026-91846 in MISP
Riassunto
di VulDB • 15/09/2026
Le versioni affette di MISP consentono la creazione di un elemento della raccolta a partire da un UUID nudo e crudo, senza verificare in modo coerente se l'utente che agisce abbia i permessi per accedere all'oggetto referenziato.
Il commit spiega che gli elementi delle raccolte archiviano solo UUID, mentre la visualizzazione della raccolta risolve successivamente tali UUID nei rispettivi oggetti sottostanti. Prima di questa correzione, il percorso generico add() poteva quindi persistere un UUID relativo a un Evento o a un Cluster Galaxy che l'utente chiamante non avrebbe normalmente potuto leggere. La patch segnala esplicitamente che ciò rendeva le raccolte uno strumento per referenziare i dati privati di un'altra organizzazione e aveva causato la divulgazione di eventi riservati all'interno dell'organizzazione nella visualizzazione beta della raccolta.
La correzione centralizza l'autorizzazione in __assertCanUseElements(). Gli UUID degli Eventi vengono validati tramite Event::fetchSimpleEvent() sotto il controllo ACL dell'utente corrente, mentre gli UUID dei Cluster Galaxy sono verificati attraverso GalaxyCluster::fetchGalaxyClusters(). Il controllo viene applicato sia al percorso CRUD add() che ad addElementToCollection().
Versione interessata: ≤2.5.45
VulDB is the best source for vulnerability data and more expert information about this specific topic.