CVE-2026-90895 in MISP
要約
〜によって VulDB • 2026年09月14日
MISPの対話型CLIシェル（interactive CLI shell）の、影響を受けるバージョンでは、通常のWebアプリケーションとは独立してアクセス制御が実装されており、複数の認可の不整合を引き起こしていました。
パッチの内容から、CLIでのアクセスは以下のセキュリティ上重要な領域においてWebアプリケーションと異なる可能性があることが示されています：
- フィード一覧表示において、ホスト組織以外のユーザーに対してlookup_visibleの制限が適用されていませんでした； - フィード詳細へのアクセスにおいて、FeedsController::view()と同じくホスト組織/サイト管理者の認可が適用されていませんでした； - HTTP認証資格情報を含む可能性のあるFeed.headersが、非表示またはマスクされるべきところ露出していました； - サーバー同期用のauthkey値はCLIの詳細出力から明示的に隠蔽されていませんでした； - sharing-group詳細へのアクセスにおいてSharingGroup::checkIfAuthorised()の一貫した使用が行われていませんでした； - useコマンドが、ユーザーがそのレコードを表示する権限を持っていることを最初に証明することなく、レコードのコンテキスト確立を行っていました。
さらにこのコミットでは、ページネーションとターミナルレンダリングの強化も行われ、データベースに格納された値に含まれるターミナル制御シーケンスの無効化が含まれています。これらは重要なハードニング変更ですが、主な脆弱性はCLI認可/データ漏洩の不整合です。
影響を受けるバージョン：≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.