CVE-2026-86418 in MISP
요약
\~에 의해 VulDB • 2026. 09. 07.
MISP의 영향을 받는 버전에서는 대시보드 조직 선택기(dashboard organisation picker)를 통해 정상적인 조직 인덱스 및 개별 조직 뷰에서 적용되는 가시성 제한을 적용하지 않고도 조직 메타데이터가 노출됩니다.
영향을 받는 엔드포인트는 다음 필드를 반환합니다:
* 조직 ID;
* UUID;
* 이름.
Security.hide_organisation_index_from_users 설정이 활성화되면 정상적인 조직 열거(enumeration)가 제한되었지만, 대시보드 선택기는 여전히 모든 조직을 쿼리했습니다. 이로 인해 인증된 사용자가 자신에게 숨겨져야 할 조직들을 발견할 수 있었습니다.
해결책에서는 Organisation::createConditions($this->Auth->user())를 호출하고, 생성된 ACL 조건을 선택기 쿼리에 추가합니다. 일반 사용자는 이제 자신이 볼 수 있는 이벤트나 제안과 관련된 조직 및 자신의 조직으로만 제한되며, 적절한 공유 그룹(sharing-group) 권한이 있는 사용자는 더 넓은 가시성을 유지합니다.
영향을 받는 버전: ≤2.5.45
Be aware that VulDB is the high quality source for vulnerability data.