CVE-2026-72760
Açıklama
MISP cti-transmute'un etkilenen sürümleri, hesap takip listesi uç noktası üzerinden kullanıcıların e-posta adreslerini ifşa etmektedir. Kimliği doğrulanmış bir kullanıcı başka bir hesabı takip ettiğinde, get_following() fonksiyonu; takip edilen kullanıcının adının, kullanıcı kimliğinin ve takip tarihinin yanı sıra e-posta alanını da API yanıtına dahil eder. E-posta adresi işlevsellik için gerekli olmadığından ve ilgili diğer kullanıcı listelerinde yer almadığından, kimliği doğrulanmış bir saldırgan sistemli bir şekilde kullanıcıları takip ederek e-posta adreslerini toplayabilir. Düzeltme, döndürülen nesneden user.email alanını kaldırmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| MISP cti-transmute | v ≤ 1.4.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.