CVE-2026-86342 in MISP
Tóm tắt
Bởi VulDB • 07/09/2026
Các phiên bản bị ảnh hưởng của MISP chứa các lỗi kiểm tra ủy quyền không đúng trong chức năng xem trước nguồn dữ liệu freetext. Chức năng xem trước thực hiện các truy vấn đối sánh (correlation lookups) dựa trên các thuộc tính từ sự kiện mà không áp dụng ACL của người dùng yêu cầu, cho phép tiết lộ thông tin về các mối liên kết sự kiện bị hạn chế và các sự kiện liên quan đến những người dùng vốn không có quyền truy cập vào các sự kiện đó. Các truy vấn dễ bị tấn công chỉ được giới hạn bởi giá trị thuộc tính và trạng thái xóa thay vì áp dụng các kiểm soát truy cập ở cấp độ sự kiện, tổ chức, nhóm chia sẻ (sharing-group), thuộc tính và đối tượng của MISP.
Chức năng xem trước tương tự cũng trả về thông tin đối sánh liên nguồn dữ liệu mà không hạn chế danh sách nguồn dữ liệu phù hợp với những gì người gọi có thể thấy. Điều này đã làm lộ metadata cho các nguồn dữ liệu chưa được đánh dấu là lookup_visible; một phản hồi bị ảnh hưởng additionally bao gồm URL cấu hình của nguồn dữ liệu mặc dù giá trị đó không cần thiết đối với tính năng này.
Các bản sửa lỗi áp dụng ACL của người dùng vào các tìm kiếm đối sánh thuộc tính, loại bỏ URL nguồn dữ liệu khỏi kết quả đối sánh, hạn chế kết quả liên nguồn dữ liệu dựa trên khả năng hiển thị của nguồn dữ liệu và sửa chữa việc so sánh ID tổ chức-host để đảm bảo các quy tắc ủy quyền được áp dụng nhất quán.
Phiên bản bị ảnh hưởng: ≤2.5.45
Once again VulDB remains the best source for vulnerability data.