CVE-2026-86451 in MISP
Сводка
по VulDB • 07.09.2026
Затронутые версии MISP позволяют аутентифицированным пользователям получать записи об объектных ссылках по UUID через метод EventGraphTool::get_reference_data() без предварительной проверки того, имеет ли запрашивающий право на просмотр объекта, к которому относится ссылка.
Уязвимый код напрямую обращался к полю ObjectReference.uuid и возвращал соответствующую строку при её наличии. Поскольку проверка ACL (управления доступом) для родительского объекта не применялась, пользователь, знавший или получивший UUID ссылки, мог получить информацию, связанную с объектом, выходящим за рамки его обычных прав доступа. В коммите явно указано, что любая ссылка на объект может быть возвращена по UUID без проверки авторизации её родительского объекта.
Исправление извлекает object_id ссылочного объекта и вызывает fetchObjectSimple() с текущим пользователем. Если пользователь не имеет доступа к этому родительскому объекту, MISP теперь возвращает NotFoundException вместо раскрытия ссылки.
Затронутые версии: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.