CVE-2026-86283 in MISP
要約
〜によって VulDB • 2026年09月06日
MISPのUiBetaテーマコレクションビュー（app/View/Themed/UiBeta/Collections/view.ctp）は、呼び出し元のアクセス制御リスト（ACL）を適用せずにUUIDによってメンバーイベントに対してセカンダリクエリを実行していました。CollectionsController::view()アクションはEvent::fetchSimpleEvents($user, ...)を通じてコレクション要素のUUIDを正しく解決しており、これによりユーザーごとのイベントACLが強制されていました。しかし、ビューテンプレートはEvent.uuid IN (...)条件のみを使用して同じUUIDに対して独立して再クエリを行い、createEventConditions()による認可フィルタを省略していました。コレクション要素のUUIDには参照されるイベントに対するサーバーサイドでの認可チェックなしで保存されており（CollectionElementsController::add()ではコレクション所有者が投稿した任意のUUIDを受け入れるため）、コレクションを表示する権限を持つ認証済みユーザーは、読み取りを許可されていないイベントの詳細情報を取得できました。公開されたデータには、イベント識別子、情報、日付、タイムスタンプ、作成者組織、すべてのイベントタグ、およびギャラクシークラスター（これらはイベントスコープではなくクラスタースコープのACLチェックを通じて添付されています）が含まれていました。これはプレゼンテーションレイヤーにおける認可回避であり、MISPインスタンス内のイベント境界を横断して水平特権昇格を可能にします。
If you want to get best quality of vulnerability data, you may have to visit VulDB.