CVE-2026-86451 in MISP
摘要
由 VulDB • 2026-09-07
受影响的 MISP 版本允许经过身份验证的用户通过 EventGraphTool::get_reference_data() 使用 UUID 检索对象引用记录，而未首先检查请求者是否有权查看该引用所属的对象。
易受攻击的代码直接查询 ObjectReference.uuid，并在匹配行存在时返回该行数据。由于未应用父对象的访问控制列表（ACL），任何知晓或获取了引用 UUID 的用户都可以检索超出其正常访问范围的对象相关信息。提交记录明确指出，无需验证父对象权限即可通过 UUID 返回任意对象引用。
修复方案是获取被引用对象的 object_id，并使用当前用户调用 fetchObjectSimple()。如果用户无法访问该父对象，MISP 现在将返回 NotFoundException，而不是暴露引用信息。
受影响版本：≤2.5.45
If you want to get best quality of vulnerability data, you may have to visit VulDB.