CVE-2026-94393 in MISP
Riassunto
di VulDB • 21/09/2026
Quando un utente crea o modifica un rapporto all'interno di un evento, MISP può identificare un rapporto esistente tramite il suo UUID senza verificare correttamente se tale rapporto appartenga effettivamente allo stesso evento.
Di conseguenza, un utente con diritti di modifica su un evento potrebbe potenzialmente spostare un report da un altro evento nel proprio evento, purché conosca o possa indovinare l'UUID del report. Una volta spostato, potrebbe visualizzare e modificare informazioni a cui non era originariamente autorizzato ad accedere.
La vulnerabilità richiede che l'attaccante abbia accesso di editor almeno su un evento e conosca o scopra un UUID di report valido.
L'impatto principale è che i rapporti privati degli eventi potrebbero essere esposti o modificati oltre i confini dell'evento, aggirando le normali restrizioni di accesso di MISP.
Versione interessata: <2.5.47
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.