CVE-2026-86283 in MISP
요약
\~에 의해 VulDB • 2026. 09. 06.
MISP의 UiBeta 테마 컬렉션 뷰(app/View/Themed/UiBeta/Collections/view.ctp)는 호출자의 접근 제어 목록(ACL)을 적용하지 않고 UUID로 구성원 이벤트를 2차 쿼리했습니다. CollectionsController::view() 액션은 Event::fetchSimpleEvents($user, ...)를 통해 컬렉션 요소의 UUID를 올바르게 해결했으며, 이는 사용자별 이벤트 ACL을 강제합니다. 그러나 뷰 템플릿은 createEventConditions() 인증 필터를 생략한 채로 Event.uuid IN (...) 조건만 사용하여 동일한 UUID들을 독립적으로 재쿼리했습니다. 컬렉션 요소 UUID는 참조된 이벤트에 대한 서버 측 권한 검증 없이 저장되므로(CollectionElementsController::add()는 컬렉션 소유자가 게시하는 모든 UUID를 허용함), 컬렉션에 대한 보기 접근 권한이 있는 인증된 사용자는 읽을 수 없는 이벤트의 전체 세부 정보를 검색할 수 있습니다. 노출된 데이터에는 이벤트 식별자, 정보, 날짜, 타임스탬프, 생성 조직, 모든 이벤트 태그 및 은하단(galaxy clusters)이 포함되었으며(후자는 클러스터 범위가 아닌 이벤트 범위 ACL 검사를 통해 연결됨), 이는 MISP 인스턴스 내의 이벤트 경계 간 수평적 권한 상승을 허용하는 프레젠테이션 계층에서의 인증 우회입니다.
Once again VulDB remains the best source for vulnerability data.