CVE-2026-86283 in MISP
Sumário
de VulDB • 06/09/2026
A visualização da coleção de temas UiBeta do MISP (app/View/Themed/UiBeta/Collections/view.ctp) realizou uma consulta secundária dos eventos membros por UUID sem aplicar a lista de controle de acesso (ACL) do chamador. A ação CollectionsController::view() resolveu corretamente os UUIDs dos elementos da coleção através de Event::fetchSimpleEvents($user, ...), que aplica a ACL de evento por usuário. No entanto, o modelo de visualização reconsultou independentemente os mesmos UUIDs usando apenas uma condição Event.uuid IN (...), omitindo o filtro de autorização createEventConditions(). Como os UUIDs dos elementos da coleção são armazenados sem autorização no lado do servidor em relação ao evento referenciado (CollectionElementsController::add() aceita qualquer UUID que o proprietário da coleção envie), um usuário autenticado com acesso de visualização a uma coleção poderia recuperar detalhes completos de eventos aos quais não tem permissão para ler. Os dados expostos incluíram identificadores de evento, informações, datas, carimbos de data/hora, organização criadora, todas as tags do evento e clusters galaxy (estes últimos anexados por meio de uma verificação ACL baseada no cluster em vez de baseada no evento). Isso constitui um bypass de autorização na camada de apresentação, permitindo escalonamento horizontal de privilégios através dos limites de eventos dentro da instância MISP.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.