CVE-2026-95683
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
W MISP widok zdarzenia Overmind wzbogaca wydarzenie o najnowszy załączony raport w celu podglądu. Logika wzbogacania pobrała raport, używając jedynie identyfikatora zdarzenia jako warunku wyszukiwania, bez stosowania własnych ograniczeń dystrybucji/listy ACL raportu. Ponieważ raporty MISP mają niezależne ustawienie dystrybucji, które może być bardziej restrykcyjne niż dystrybucja zdarzenia nadrzędnego, uwierzytelniony użytkownik, który miał dostęp do odczytu zdarzenia, mógł pobrać i wyświetlić raport, którego dystrybucja wyraźnie wykluczyła tego użytkownika. Ponadto zapytanie nie odfiltrowało raportów usuniętych nietrwało, umożliwiając pobranie raportów, które zostały usunięte administracyjnie.
Rezultatem jest nieupoważnione ujawnienie treści raportu dotyczącego analizy zagrożeń użytkownikom, którzy nie powinni mieć do niego dostępu zgodnie z zasadami kontroli dostępu określonymi w raporcie.
Luka wymaga uwierzytelnionego użytkownika MISP z dostępem co najmniej do odczytu danego zdarzenia.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org