CVE-2026-86283

MISP-nin UiBeta mövzu kolleksiyası görünüşü (app/View/Themed/UiBeta/Collections/view.ctp), çağıranın giriş nəzarəti siyahısını (ACL) tətbiq etmədən UUID vasitəsilə üzv hadisələri üçün ikincili sorğu həyata keçirirdi. CollectionsController::view() hər istifadəçi üçün hadisə ACL-ni tətbiq edən Event::fetchSimpleEvents($user, ...) vasitəsilə kolleksiya elementi UUID-lərini düzgün şəkildə müəyyən edirdi. Lakin görünüş şablonu createEventConditions() avtorizasiya filtrini buraxaraq, eyni UUID-ləri yalnız Event.uuid IN (...) şərti ilə müstəqil olaraq yenidən sorğulayırdı. Kolleksiya elementi UUID-ləri istinad edilən hadisəyə qarşı server tərəfli avtorizasiya olmadan saxlandığı üçün (CollectionElementsController::add() kolleksiya sahibinin göndərdiyi hər hansı UUID-ni qəbul edir), kolleksiyaya baxış icazəsi olan autentifikasiya olunmuş istifadəçi oxumağa icazəsi olmayan hadisələrin tam təfərrüatlarını əldə edə bilərdi. Açılan məlumatlara hadisə identifikatorları, məlumatlar, tarixlər, zaman möhürləri, yaradan təşkilat, bütün hadisə teqləri və qalaktika klasterləri (sonuncular hadisə səviyyəli deyil, klaster səviyyəli ACL yoxlaması vasitəsilə əlavə edilmişdir) daxil idi. Bu, təqdimat təbəqəsində avtorizasiyadan yan keçməni təşkil edir və MISP instansiyası daxilində hadisə sərhədləri boyunca horizontal imtiyazların yüksəldilməsinə imkan verir.