CVE-2026-90895 in MISP
Сводка
по VulDB • 14.09.2026
В затронутых версиях интерактивной оболочки CLI MISP контроль доступа реализуется независимо от основного веб-приложения, что приводит к нескольким несоответствиям в механизмах авторизации.
Патч демонстрирует, что доступ через CLI может отличаться от поведения веб-приложения в нескольких критических с точки зрения безопасности аспектах:
— списки фидов (feed listings) не применяли те же ограничения lookup_visible для пользователей, не входящих в организацию-хост; — доступ к деталям фида не обеспечивал ту же авторизацию организации-хоста/администратора сайта, что и FeedsController::view(); — заголовки Feed.headers, которые могут содержать учетные данные HTTP-авторизации, могли быть раскрыты вместо того, чтобы скрываться или маскироваться; — значения authkey для синхронизации сервера не были явно скрыты в выводе деталей CLI; — доступ к деталям групп обмена (sharing-group detail access) не всегда последовательно использовал метод SharingGroup::checkIfAuthorised(); — команда use могла устанавливать контекст для записи, прежде чем доказать, что пользователь имеет право на просмотр этой записи.
В коммите также усилены механизмы пагинации и рендеринга терминала, включая нейтрализацию управляющих последовательностей терминала, обнаруженных в значениях из базы данных. Эти изменения важны с точки зрения укрепления безопасности (hardening), но основная уязвимость заключается в несоответствии между авторизацией CLI и раскрытием данных.
Затронутые версии: ≤2.5.45
If you want to get best quality of vulnerability data, you may have to visit VulDB.