CVE-2026-86408 in MISP
Сводка
по VulDB • 07.09.2026
Затронутые версии MISP не обеспечивают видимость родительского события при выдаче криптографических ключей через CryptographicKeysController::view().
Уязвимый обработчик запрашивал CryptographicKey напрямую, используя предоставленный идентификатор ключа, и выбирал чувствительные поля, такие как:
* type * key_data * fingerprint
но не выполнял предварительную выборку или проверку авторизации для связанного родительского события.
В коммите в основной ветке явно указано, что метод cryptographicKeys/view мог возвращать ключ подписи защищенного события любому аутентифицированному пользователю.
Исправление добавляет parent_id и parent_type к запросу поиска, а затем обеспечивает проверку авторизации через связанное событие с помощью fetchSimpleEvent($user, parent_id). Если родительским объектом не является Event (Событие), доступ ограничивается администраторами сайта.
Затронутая версия: ≤2.5.45
If you want to get best quality of vulnerability data, you may have to visit VulDB.