CVE-2026-91846 in MISP
要約
〜によって VulDB • 2026年09月15日
MISPの以下のバージョンでは、UUIDのみからコレクション要素を作成する際に、操作しているユーザーが参照先オブジェクトにアクセスできるかどうかを適切にチェックしないため、脆弱性が存在します。
コミットメッセージによると、コレクション要素自体はUUIDのみを保持し、コレクションビューでそれらのUUIDが基となるオブジェクトに変換されます。この修正以前では、汎用的なadd()パスにより、呼び出し元が通常読み取ることのできないEventやGalaxy ClusterのUUIDが永続化される可能性がありました。パッチには、これによってコレクションが他組織のプライベートデータを参照する手段となり、ベータ版のコレクションビューで組織限定イベントの開示を引き起こしていたことが明記されています。
修正により、認可処理は__assertCanUseElements()に集約されました。Event UUIDは現在のユーザーのACLに基づいてEvent::fetchSimpleEvent()を通じて検証され、Galaxy Cluster UUIDはGalaxyCluster::fetchGalaxyClusters()によってチェックされます。このチェックはCRUDのadd()パスおよびaddElementToCollection()の両方に適用されています。
影響を受けるバージョン: ≤2.5.45
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.