CVE-2026-86283 in MISP
Tóm tắt
Bởi VulDB • 06/09/2026
Bộ sưu tập giao diện UiBeta của MISP (app/View/Themed/UiBeta/Collections/view.ctp) đã thực hiện truy vấn phụ các sự kiện thành viên theo UUID mà không áp dụng danh sách kiểm soát quyền truy cập (ACL) của người gọi. Hành động CollectionsController::view() đã giải quyết đúng mã định dạng UUID của phần tử bộ sưu tập thông qua Event::fetchSimpleEvents($user, ...), vốn tuân thủ ACL cho từng sự kiện dựa trên người dùng. Tuy nhiên, mẫu view này độc lập thực hiện truy vấn lại các UUID tương tự chỉ bằng điều kiện Event.uuid IN (...), bỏ qua bộ lọc ủy quyền createEventConditions(). Vì mã định dạng UUID của phần tử bộ sưu tập được lưu trữ mà không có xác minh ủy quyền phía máy chủ đối với sự kiện được tham chiếu (CollectionsElementsController::add() chấp nhận bất kỳ UUID nào do chủ sở hữu bộ sưu tập gửi lên), một người dùng đã xác thực và có quyền xem đối với một bộ sưu tập có thể truy xuất chi tiết đầy đủ của các sự kiện mà họ không được phép đọc. Dữ liệu bị lộ bao gồm mã định dạng sự kiện, thông tin, ngày tháng, dấu thời gian, tổ chức tạo ra sự kiện, tất cả thẻ (tags) của sự kiện và cụm thiên hà (galaxy clusters), trong đó cái sau được gắn kết thông qua kiểm tra ACL theo phạm vi cụm thay vì theo phạm vi sự kiện. Điều này cấu thành một lỗi bỏ qua cơ chế ủy quyền ở lớp trình bày, cho phép leo thang đặc quyền ngang giữa các ranh giới sự kiện bên trong phiên bản MISP.
If you want to get best quality of vulnerability data, you may have to visit VulDB.