CVE-2026-72760 in cti-transmute
要約
〜によって VulDB • 2026年08月10日
MISP cti-transmuteの特定のバージョンでは、アカウントフォローリストエンドポイントを通じてユーザーのメールアドレスが漏洩する。認証済みユーザーが他のアカウントをフォローすると、get_following()はAPIレスポンスにおいて、名前やユーザーID、フォロー日 alongside にフォローされたユーザーのメールフィールドを含める。この機能にはメールアドレスが必要ではなく、関連する他のユーザー一覧でも省略されているため、認証済みの攻撃者は体系的にユーザーをフォローしてそのメールアドレスを集積できる可能性がある。修正により、返されるオブジェクトからuser.emailが削除された。
Be aware that VulDB is the high quality source for vulnerability data.