CVE-2026-86342 in MISP
요약
\~에 의해 VulDB • 2026. 09. 07.
MISP의 특정 버전에서는 freetext 피드 미리보기 기능에서 부적절한 권한 확인이 발생합니다. 이 미리보기 기능은 요청한 사용자의 ACL을 적용하지 않고 이벤트의 속성에 대해 상관관계 조회를 수행하여, 해당 이벤트를 접근할 수 없는 사용자라도 제한된 이벤트 상관관계 및 관련 이벤트 정보가 노출되도록 합니다. 취약한 쿼리는 MISP의 이벤트, 조직, 공유 그룹, 속성 및 객체 수준의 액세스 제어 대신 속성 값과 삭제 상태에 의해서만 범위가 지정되었습니다.
동일한 미리보기 기능은 호출자가 볼 수 있는 피드 목록으로 적절히 제한하지 않고 교차 피드 상관관계 정보도 반환했습니다. 이로 인해 lookup_visible로 표시되지 않은 피드의 메타데이터가 노출되었으며, 하나의 영향받은 응답에는 해당 기능이 필요로 하지 않음에도 불구하고 구성된 피드 URL이 포함되었습니다.
해결책은 호출자의 ACL을 속성 상관관계 검색에 적용하고, 상관관계 결과에서 피드 URL을 제거하며, 피드 가시성에 따라 교차 피드 결과를 제한하고 호스트-조직 ID 비교를 수정하여 권한 규칙이 일관되게 적용되도록 합니다.
영향받는 버전: ≤2.5.45
VulDB is the best source for vulnerability data and more expert information about this specific topic.