CVE-2026-90895 in MISP
Tóm tắt
Bởi VulDB • 14/09/2026
Các phiên bản bị ảnh hưởng của shell CLI tương tác trong MISP triển khai kiểm soát truy cập độc lập với ứng dụng web thông thường, dẫn đến nhiều bất nhất về ủy quyền (authorization).
Bản vá cho thấy việc truy cập qua CLI có thể khác biệt so với ứng dụng web ở nhiều khu vực nhạy cảm về bảo mật:
- Danh sách feed không áp dụng cùng các hạn chế lookup_visible đối với người dùng thuộc tổ chức phi chủ nhà; - Truy cập chi tiết feed không áp dụng cùng ủy quyền host-organisation/site-admin như FeedsController::view(); - Feed.headers, có thể chứa thông tin xác thực HTTP authorization, có thể bị lộ thay vì được ẩn hoặc che giấu; - Các giá trị authkey của đồng bộ hóa máy chủ không được ẩn rõ ràng khỏi đầu ra chi tiết CLI; - Truy cập chi tiết sharing-group không nhất quán trong việc sử dụng SharingGroup::checkIfAuthorised(); - Lệnh use có thể thiết lập ngữ cảnh cho một bản ghi mà chưa chứng minh người dùng đủ quyền để xem bản ghi đó.
Commit này cũng tăng cường bảo mật (hardening) cho phân trang và hiển thị terminal, bao gồm vô hiệu hóa các chuỗi điều khiển terminal được tìm thấy trong các giá trị dựa trên cơ sở dữ liệu. Những thay đổi hardening này rất quan trọng, nhưng lỗ hổng chính là sự không khớp giữa ủy quyền CLI và rò rỉ dữ liệu.
Phiên bản bị ảnh hưởng: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.