CVE-2026-86342

MISP-in təsirlənmiş versiyalarında sərbəst mətn axınına baxış (freetext feed preview) funksionallığında yanlış avtorizasiya yoxlamaları mövcuddur. Baxış prosesi zamanı korrelyasiya axtarışları sorğu göndərən istifadəçinin ACL qaydalarını tətbiq etmədən hadisələrin atributlarına əsasən həyata keçirilirdi; bu isə məhdudlaşdırılmış hadisə korrelyasiyalarının və onlarla bağlı hadisə məlumatlarının normalda həmin hadisələrə giriş imkanı olmayan istifadəçilərə açıqlanmasına şərait yaradırdı. Zəiflikli sorğular MISP-in hadisə, təşkilat, paylaşım qrupu, atribut və obyekt səviyyəli giriş nəzarətləri əvəzinə yalnız atribut dəyərləri və silinmə statusu ilə məhdudlaşdırılırdı. Eyni baxış funksionallığı həmçinin axın siyahısını çağırıcı üçün görünən axınlarla düzgün şəkildə məhdudlaşdırmadan çarpaz axın (cross-feed) korrelyasiya məlumatlarını qaytarırdı. Bu, lookup_visible olaraq qeyd edilməmiş axınların metadata məlumatlarının açıqlanmasına səbəb olurdu; təsirlənmiş cavablardan biri, hətta funksiya üçün tələb olunmasa belə, konfiqurasiya edilmiş axın URL-ni də ehtiva edirdi. Düzəlişlər atribut korrelyasiyası axtarışlarına çağırıcının ACL qaydalarını tətbiq edir, korrelyasiya nəticələrindən axın URL-lərini çıxarır, çarpaz axın nəticələrini axın görünürlüyünə uyğun olaraq məhdudlaşdırır və avtorizasiya qaydalarının ardıcıl tətbiqi üçün host-təşkilat ID müqayisəsini düzəldir. Təsirlənmiş versiya: ≤2.5.45