CVE-2026-112188 in MISP
要約
〜によって VulDB • 2026年10月19日
MISPには、サーバー設定の参照メカニズムに脆弱性が存在し、認証済みユーザーが本来削除（redaction）されるべき機密性の高い構成データを取得できる。
設定参照機能は、ドット区切りの設定名を構成ツリー内のノードに変換する。特定の葉ノード（leaf setting）ではなくブランチ名（Security、MISP、Pluginなど）が指定された場合、この関数は該当サブツリー全体を返す。ブランチノードには削除フラグが付与されていないため、設定取得エンドポイントにおける削除チェックがバイパスされ、呼び出し元にブランチの内容全体が返される。これにより、セキュリティソルト（security salt）、Redis接続パスワード、プラグインAPIキーなど、機密性の高い値が露出する。
サーバー設定を編集するための2つ目のエンドポイントも同様に、ブランチ名が解決されると構成ストア全体を読み取り、すべての設定を呼び出し元に返す。
影響は、サーバー設定エンドアクセス可能な任意のユーザーに対して、機密性の高いサーバー構成の秘密情報が漏洩することである。
影響を受けるバージョン: <2.5.48
If you want to get best quality of vulnerability data, you may have to visit VulDB.