CVE-2026-54396
Açıklama
MISP AuthKey düzenleme işlevselliğinde bir bilgi ifşası zafiyeti bulunmaktadır. Bir AuthKey düzenleme isteği sırasında doğrulama hatası oluştuğunda, kullanıcı açılır menüsü gönderilen istek verilerindeki saldırgan tarafından kontrol edilen AuthKey.user_id değeri kullanılarak doldurulmaktaydı. Bir AuthKey'i düzenleme yetkisine sahip kimliği doğrulanmış bir kullanıcı, rastgele kullanıcı kimlikleri gönderebilir ve dönen açılır menü verilerini gözlemleyerek kullanıcı e-posta adreslerini numaralandırabilirdi. Sorun, açılır menüdeki kullanıcının istek gövdesi yerine kalıcı AuthKey sahibinden türetilmesiyle giderilmiştir.
Nasıl düzeltilir
- misp misp2.5.40 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| misp misp | v < 2.5.40 | 2.5.40 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.