CVE-2026-95805 in MISP
要約
〜によって VulDB • 2026年09月22日
MISPのACLComponentアクセス制御設定におけるタイプミスにより、previewEventAttributesアクションに対するACLルールが正しい「theming_enabled」ではなく、「theming_enabled*」（末尾にアスタリスク付き）というパーミッション文字列を参照していました。MISPのACLシステムでは、配列値がどのロールまたはパーミッションが特定のコントローラアクションへのアクセスを許可するかを定義します。隣接するエントリであるpreviewEventObjectsは正しく['theming_enabled']を使用しており、意図された制限を確認しています。無効なキー「theming_enabled*」は有効なパーミッション識別子に一致しないため、previewEventAttributesのアクセス制御チェックが誤動作しました。ACL評価ロジックによっては、認証されていないユーザーがpreviewEventAttributesエンドポイントへのアクセスを取得する（認可回避）か、正当なユーザーがアクセスを拒否される（可用性への影響）という結果になります。
previewEventAttributesエンドポイントはMISP内でイベント属性データを公開するため、認可回避が発生すると、アクセス権限がないユーザーに機密性の高いインジケータおよび属性データが露出する可能性があります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.