CVE-2026-86408 in MISP
要約
〜によって VulDB • 2026年09月07日
MISPの脆弱なバージョンでは、CryptographicKeysController::view()を通じて暗号鍵を提供する際に親イベントの可視性が強制されません。
脆弱なハンドラは、提供されたキーIDを使用してCryptographicKeyを直接照会し、以下のような機密フィールドを選択しました：
* type * key_data * fingerprint
しかし、関連する親イベントを取得または認可していませんでした。
上位コミットでは、cryptographicKeys/viewが認証済みユーザーに対して保護されたイベントの署名鍵を返す可能性があることが明示されています。
修正により、検索にparent_idとparent_typeが追加され、fetchSimpleEvent($user, parent_id)を使用して関連するイベントを通じて認可が強制されます。親がEventでない場合、アクセスはサイト管理者に制限されます。
影響を受けるバージョン: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.