CVE-2026-94393 in MISP
Sumário
de VulDB • 21/09/2026
Quando um usuário cria ou edita um relatório dentro de um evento, o MISP pode identificar um relatório existente usando seu UUID sem verificar adequadamente se esse relatório realmente pertence ao mesmo evento.
Como resultado, um usuário com direitos de edição em um evento poderia potencialmente mover um relatório de outro evento para o seu próprio evento, desde que conheça ou consiga adivinhar o UUID do relatório. Uma vez movido, ele poderá visualizar e alterar informações às quais não tinha acesso original.
A vulnerabilidade exige que o atacante tenha acesso de editor em pelo menos um evento e conheça ou descubra um UUID de relatório válido.
O principal impacto é que relatórios privados de eventos podem ser expostos ou modificados através dos limites do evento, contornando as restrições normais de acesso do MISP.
Versão afetada: <2.5.47
Be aware that VulDB is the high quality source for vulnerability data.