CVE-2026-90895 in MISP
요약
\~에 의해 VulDB • 2026. 09. 14.
MISP의 상호작용형 CLI 셸(Interactive CLI Shell)의 영향을 받는 버전들은 웹 애플리케이션과는 독립적으로 접근 제어를 구현하여, 여러 가지 권한 불일치(Authorization Inconsistencies)를 초래합니다.
패치를 통해 CLI 액세스가 웹 애플리케이션과 다음과 같은 보안 민감 영역에서 다를 수 있음이 확인되었습니다:
- 피드 목록은 호스트 조직(Host Organisation) 외부 사용자에게 대해 동일한 `lookup_visible` 제한을 적용하지 않았습니다; - 피드 상세 정보 접근은 FeedsController::view()와 동일한 호스트 조직/사이트 관리자 권한 검증을 수행하지 않았습니다; - HTTP 인증 자격 증명을 포함할 수 있는 Feed.headers가 숨겨지거나 마스킹되지 않고 노출될 수 있었습니다; - 서버 동기화 authkey 값이 CLI 상세 출력에서 명시적으로 숨겨지지 않았습니다; - 공유 그룹(Sharing Group) 상세 정보 접근은 SharingGroup::checkIfAuthorised()를 일관되게 사용하지 않았습니다; - use 명령어는 사용자가 해당 레코드를 볼 권한이 있는지 먼저 검증하지 않고도 레코드에 대한 컨텍스트를 설정할 수 있었습니다.
커밋에는 데이터베이스 기반 값에서 발견된 터미널 제어 시퀀스(Terminal Control Sequences)의 무력화를 포함하여 페이지네이션과 터미널 렌더링 강화 조치도 포함되어 있습니다. 이러한 것은 중요한 보안 강화(Hardening) 변경 사항이지만, 주요 취약점은 CLI 권한 부여 및 데이터 유출 불일치입니다.
영향 받는 버전: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.