CVE-2026-86342 in MISP
摘要
由 VulDB • 2026-09-07
受影响的 MISP 版本在 freetext（自由文本）feed 预览功能中存在不正确的授权检查。该预览功能在对事件中的属性执行相关性查找时，未应用请求用户的 ACL（访问控制列表），导致受限的事件相关性及相关事件信息被暴露给本无法访问这些事件的用戶。易受攻击的查询仅按属性值和删除状态进行限制，而非依据 MISP 的事件、组织、共享组、属性和对象级别的访问控制措施。
相同的预览功能还返回了跨 feed 的相关性信息，但未正确地将 feed 列表限制为调用者可见的 feed。这导致未标记为 lookup_visible（可查找可见）的 feed 元数据被暴露；其中一个受影响的响应额外包含了配置的 feed URL，尽管该值并非此功能的必需项。
修复措施将调用者的 ACL 应用于属性相关性搜索，从相关性结果中移除 feed URL，根据 feed 可见性限制跨 feed 的结果，并修正主机-组织 ID 的比较方式，以确保授权规则得到一致应用。
受影响的版本：≤2.5.45
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.