CVE-2026-86283 in MISP
Сводка
по VulDB • 06.09.2026
В теме UiBeta коллекции просмотра MISP (app/View/Themed/UiBeta/Collections/view.ctp) выполнялся вторичный запрос событий участников по UUID без применения списка контроля доступа (ACL) вызывающего объекта. Действие CollectionsController::view() корректно разрешало UUID элементов коллекции через Event::fetchSimpleEvents($user, ...), который обеспечивает ACL для каждого пользователя. Однако шаблон представления независимо повторно запрашивал те же UUIDы, используя только условие Event.uuid IN (...), опуская фильтр авторизации createEventConditions(). Поскольку UUIDы элементов коллекции хранятся без серверной проверки авторизации относительно ссылочного события (CollectionElementsController::add() принимает любой UUID, который публикует владелец коллекции), аутентифицированный пользователь с доступом на просмотр к коллекции мог получить полные детали событий, которые он не имеет права читать. Экспонированные данные включали идентификаторы событий, информацию, даты, временные метки, организацию-создателя, все теги события и кластеры galaxy (последние прикреплены через проверку ACL на уровне кластера, а не уровня события). Это представляет собой обход авторизации на слое представления, позволяющий горизонтальное повышение привилегий в пределах границ событий внутри экземпляра MISP.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.