CVE-2026-54358

MISP'deki hatalı bir yetkilendirme zafiyeti, bir organizasyon yöneticisinin yönetici e-posta işlevi aracılığıyla aynı organizasyona ait site yöneticisi hesaplarını hedef almasına olanak tanır. Etkilenen kod, organizasyon yöneticilerini kendi organizasyonlarındaki kullanıcılarla sınırlandırmış ancak alıcı sorgularından site yöneticisi rolü atanmış hesapları hariç tutmamıştır. Sonuç olarak, bir organizasyon yöneticisi, aynı organizasyondaki daha yüksek yetkili bir site yöneticisi hesabına karşı şifre sıfırlama iş akışını başlatmak gibi ayrıcalıklı hesap yönetim işlemleri gerçekleştirebilir. Başarılı bir istismar, kimliği doğrulanmış bir organizasyon yöneticisinin bir site yöneticisi hesabına müdahale etmesine veya potansiyel olarak hesabı ele geçirmesine izin vererek yetki yükseltilmesine ve MISP örneğinin gizliliği, bütünlüğü ve erişilebilirliğinin tamamen tehlikeye girmesine neden olabilir. Saldırı ön koşulları: Saldırganın, bir site yöneticisi hesabıyla aynı organizasyonda organizasyon yöneticisi olarak kimliği doğrulanmış olması gerekir.