CVE-2026-104914

MISP, öznitelik arama ve sayfalanmış öznitelik görünümü uç noktalarında hatalı erişim kontrolü zafiyeti içermektedir. Bir kullanıcı yumuşak silinmiş (soft-deleted) öznitelikler için sorgulama yaptığında (örneğin, deleted-attributes araması veya sayfalanmış öznitelik listelemesi aracılığıyla), uygulama, etkinliğe görünürlüğü olan herhangi bir kimliği doğrulanmış kullanıcıya, diğer kuruluşlara ait etkinliklerin yumuşak silinmiş özniteliklerini döndürmekteydi. Etkinlik detay görünümü, yumuşak silinmiş öznitelik görünürlüğünü doğru şekilde sahip kuruluş ve senkronizasyon izni olan kullanıcılarla kısıtlamaktaydı; ancak öznitelik arama ve sayfalanmış görünüm kod yolları bu kısıtlamadan yoksundu. Ön koşullar: - Başka bir kuruluşa ait bir etkinliğe en az okuma erişimi olan, kimliği doğrulanmış bir MISP kullanıcısı. - Kullanıcının silinmiş öznitelikler için bir sorgu göndermesi (arama veya deleted filtresine sahip sayfalanmış görünüm). Etki: - Gizlilik: Diğer kuruluşlara ait yumuşak silinmiş tehdit istihbaratı öznitelikleri (örneğin, IOC'ler, göstergeler, bağlam), yetkisiz kullanıcılara ifşa edilmektedir. Bu durum, sahibi olan kuruluşun genel görünürlükten kaldırmayı amaçladığı hassas istihbaratın açığa çıkmasına neden olabilir. Etkilenen versiyonlar: v2.5.48 öncesindeki MISP versiyonları.