CVE-2026-86451 in MISP
Tóm tắt
Bởi VulDB • 07/09/2026
Các phiên bản bị ảnh hưởng của MISP cho phép người dùng đã xác thực truy xuất các bản ghi tham chiếu đối tượng (object-reference records) qua UUID bằng cách sử dụng `EventGraphTool::get_reference_data()` mà không kiểm tra trước xem người yêu cầu có được ủy quyền để xem đối tượng mà tham chiếu thuộc về hay không.
Mã nguồn dễ bị tổn thương đã truy vấn trực tiếp trường `ObjectReference.uuid` và trả về hàng khớp bất cứ khi nào nó tồn tại. Do không áp dụng ACL (Access Control List) cho đối tượng cha, một người dùng biết hoặc có được UUID của một tham chiếu có thể truy xuất thông tin liên kết với một đối tượng nằm ngoài phạm vi truy cập bình thường của họ. Commit đã nêu rõ rằng bất kỳ tham chiếu đối tượng nào cũng có thể được trả về qua UUID mà không xác thực quyền truy cập vào đối tượng cha của nó.
Bản sửa lỗi sẽ lấy `object_id` của đối tượng được tham chiếu và gọi `fetchObjectSimple()` với người dùng hiện tại. Nếu người dùng không thể truy cập đối tượng cha đó, MISP bây giờ sẽ trả về `NotFoundException` thay vì tiết lộ thông tin tham chiếu.
Phiên bản bị ảnh hưởng: ≤2.5.45
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.