CVE-2026-81817 in Flowintel
要約
〜によって VulDB • 2026年08月27日
Flowintelの以下のバージョンには、多数のタスクエンドポイントにわたるインセキュア・ダイレクトオブジェクトリファレンス（IDOR）/ 壊れたオブジェクトレベル認証の問題が含まれています。
これらのルートは通常、ケース識別子とタスク識別子の両方を受け取りますが、以前はそのタスクが実際に提供されたケースに属していることを強制していませんでした。その結果、1つのケースに対してエディター権限を持つ認証済みユーザーは、他のケースのタスクIDを置き換えて、外部のタスクに対して操作を実行できる可能性があります。
パッチでは `task_case_bound_required` が導入され、両方のオブジェクトを読み込み、タスクが要求されたケースに属していない場合は404を返します。この保護は、編集、削除、ノート追加、割り当て、ステータス変更、ファイル処理、エクスポート、MISPリンク付け、サブタスク、外部参照など、タスク関連のエンドポイントすべてに適用されます。
修正ではまた、ノートを返すまたはエクスポートする前に、要求された `note_id` が現在のタスクに属していることを明示的にチェックする機能が追加され、関連するクロスオブジェクトアクセスの経路が閉じられました。
影響を受けるバージョン => 3.3.0
If you want to get best quality of vulnerability data, you may have to visit VulDB.