CVE-2026-85226

MISP, OnDemand korelasyon motorunda; korelasyonların, korele edilen öznitelikler ve olaylarla ilişkili dağıtım, paylaşım grubu, organizasyon veya diğer erişim kontrol kısıtlamaları uygulanmadan yalnızca eşleşen öznitelik değerlerinden hesaplandığı bir yetkilendirme hatası içermektedir. Sonuç olarak, kimliği doğrulanmış bir kullanıcı, erişim yetkisi olmayan özniteliklere veya olaylara referans veren korelasyon sonuçları alabilmektedir. Hatalı korelasyon toplama yolu, istek yapan kullanıcıyı dikkate almıyordu. Yama, korelasyon toplayıcısını mevcut kullanıcıyı kabul edecek şekilde değiştirir ve ortaya çıkan öznitelik tanımlayıcılarını, canlı verilere karşı olay, öznitelik, nesne, dağıtım ve paylaşım grubu düzeyindeki kısıtlamaları değerlendiren MISP'in mevcut fetchAttributesSimple() yetkilendirme mantığı üzerinden filtreler. Sorun ayrıca önceden depolanmış korelasyon verilerine dayanan yolları da etkilemiştir. OnDemand motoru depolanan korelasyon tablosunu sürdürmediği için, denormalize edilmiş erişim kontrol bilgileri güncelliğini yitirmiş olabilir. Bu nedenle yama, korele edilmiş öznitelik tanımlayıcılarını döndürmeden önce mevcut ACL'lere göre doğrular ve ilgili olaylar alınırken normal olay görünürlük koşullarını uygular. Kimliği doğrulanmış düşük yetkili bir kullanıcı, kısıtlanmış MISP içeriğiyle korele olan öznitelikleri sorgulayarak veya oluşturarak bu sorunu istismar edebilir ve potansiyel olarak aksi takdirde erişilemeyen olaylar veya öznitelikler hakkında bilgi edinebilir.