CVE-2026-95805

MISP ACLComponent giriş kontrol konfiqurasiyasındakı yazı xətası səbəbindən previewEventAttributes hərəkəti üçün olan ACL qaydası düzgün 'theming_enabled' əvəzinə 'theming_enabled*' (sonunda ulduz işarəsi ilə) icazə sətirinə istinad etmişdir. MISP ACL sistemində massiv dəyərləri hansı rolun və ya icazənin müəyyən bir kontroller hərəkətinə girişi təmin etdiyini təyin edir. Qonşu giriş olan previewEventObjects düzgün şəkildə ['theming_enabled'] istifadə edir ki, bu da nəzərdə tutulan məhdudiyyəti təsdiqləyir. Səhv formalaşmış 'theming_enabled*' açarı heç bir keçərli icazə identifikatoru ilə üst-üstə düşmür və bu da previewEventAttributes üçün giriş kontrol yoxlamasının yanlış işləməsinə səbəb olur. ACL qiymətləndirmə məntiqindən asılı olaraq, bu, ya səlahiyyətsiz istifadəçilərin previewEventAttributes son nöqtəsinə (endpoint) giriş əldə etməsi (avtorizasiyadan yan keçmə), ya da legitim istifadəçilərə girişin qadağan edilməsi (əlçatanlığa təsir) ilə nəticələnə bilər. previewEventAttributes son nöqtəsi MISP daxilində hadisə atributu məlumatlarını üzə çıxardığı üçün avtorizasiyadan yan keçmə, həssas indikator və atribut məlumatlarının giriş hüququ olmayan istifadəçilərə açıqlanmasına səbəb ola bilər.