CVE-2026-103858

MISP, tartışma paylaşım işlevselliğinde eksik bir yetkilendirme kontrolü içermektedir. Bir kullanıcı bir iş parçacığına gönderi sunduğunda veya mevcut bir gönderiye yanıt verdiğinde, uygulama yalnızca hedef iş parçacığının tek bir organizasyonla sınırlandırılıp sınırlandırılmadığını (yalnızca org dağıtımı) doğrulamaktaydı. Paylaşım grubu üyeliği ve olay düzeyindeki görünürlük dahil olmak üzere tam iş parçacığı erişim kontrol listesini uygulamamaktaydı. Sonuç olarak, ilgili paylaşım grubunun dışında olan veya ilişkili olay üzerinde görünürlüğü bulunmayan kimliği doğrulanmış bir kullanıcı şunları yapabilirdi: - İş parçacığı başlığını ve alıntılanan gönderinin içeriğini okumak - Tartışma iş parçacığına yeni bir gönderi sunmak Bu durum hem bir bilgi ifşası (kısıtlanmış iş parçacığı ve gönderi içeriğinin okunması) hem de bir bütünlük sorunu (kullanıcının katılmaya yetkili olmadığı bir iş parçacığına içerik eklenmesi) teşkil etmektedir. Etkilenen sürümler: <2.5.48