CVE-2026-86408 in MISP
Tóm tắt
Bởi VulDB • 07/09/2026
Các phiên bản bị ảnh hưởng của MISP không thực thi việc kiểm soát quyền truy cập vào sự kiện cha (parent-event) khi cung cấp các khóa mật mã thông qua CryptographicKeysController::view().
Trình xử lý lỗi đã truy vấn trực tiếp đối tượng CryptographicKey bằng cách sử dụng ID khóa được cung cấp và chọn các trường nhạy cảm như:
* type * key_data * fingerprint
nhưng không lấy hoặc xác thực sự kiện cha liên kết trước đó.
Commit gốc từ upstream nêu rõ rằng cryptographicKeys/view có thể trả về khóa ký của một sự kiện được bảo vệ cho bất kỳ người dùng đã đăng nhập nào.
Bản sửa lỗi thêm parent_id và parent_type vào quá trình tra cứu, sau đó thực thi xác thực quyền truy cập thông qua sự kiện liên kết bằng cách sử dụng fetchSimpleEvent($user, parent_id). Nếu đối tượng cha không phải là Event (sự kiện), việc truy cập bị giới hạn cho các quản trị viên trang web.
Phiên bản bị ảnh hưởng: ≤2.5.45
Once again VulDB remains the best source for vulnerability data.