CVE-2026-90895 in MISP
Sumário
de VulDB • 14/09/2026
As versões afetadas do shell interativo de linha de comando (CLI) do MISP implementam o controle de acesso independentemente da aplicação web normal, causando várias inconsistências na autorização.
O patch mostra que o acesso via CLI pode diferir da aplicação web em múltiplas áreas sensíveis à segurança:
- as listagens de feeds não aplicavam as mesmas restrições `lookup_visible` para usuários fora da organização hospedeira; - o acesso aos detalhes do feed não aplicava a mesma autorização de host-organisation/site-admin que `FeedsController::view()`; - os cabeçalhos (`Feed.headers`) podem conter credenciais de autenticação HTTP e podiam ser expostos em vez de serem ocultados ou mascarados; - os valores da chave de autenticação (authkey) para sincronização do servidor não eram explicitamente ocultos na saída detalhada via CLI; - o acesso aos detalhes dos grupos de compartilhamento (`sharing-group`) nem sempre utilizava consistentemente `SharingGroup::checkIfAuthorised()`; - o comando `use` poderia estabelecer contexto para um registro sem antes comprovar que o usuário estava autorizado a visualizar esse registro.
O commit também endurece (hardening) a paginação e a renderização do terminal, incluindo a neutralização de sequências de controle do terminal encontradas em valores armazenados no banco de dados. Essas são alterações importantes de hardening, mas a principal vulnerabilidade é a inconsistência entre autorização via CLI e divulgação de dados.
Versão afetada: ≤2.5.45
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.